Rapports et publications

Rapports de vérification

Vérification de certaines bases de données opérationnelles de la GRC

Article 37 de la Loi sur la protection des renseignements personnels

Rapport final

2011


Commissariat à la protection de la vie privée du Canada
112, rue Kent
Ottawa (Ontario)
K1A 1H3

(613) 947-1698, 1-800-282-1376
Téléc. (613) 947-6850
ATS (613) 992-9190
Suivez-nous sur Twitter: @privacyprivee

© Minister of Public Works and Government Services Canada, 2011

No de catalogue IP54-42/2011
ISBN 978-1-100-53857-0


Haut de la pageTable des matièresPrincipaux éléments

Points examinés

Les responsables de l’application de la loi et de la justice p√©nale du Canada disposent d’un imposant r√©seau de syst√®mes de bases de donn√©es pour les aider √† appliquer les lois, √† pr√©venir les crimes, √† mener des enqu√™tes et √† maintenir la paix, l’ordre et la s√©curit√©. En tant que service de police national du pays, la Gendarmerie royale du Canada¬†(GRC) a dirig√© les efforts visant √† cerner les besoins, √† √©laborer des syst√®mes d’information et des services connexes et √† les rendre accessibles √† l’ensemble du milieu policier.

Notre v√©rification √©tait ax√©e sur deux de ces syst√®mes choisis en raison de leur importance et de leur utilisation intensive par la GRC et d’autres organismes responsables de l’application de la loi¬†: le Centre d’information de la police canadienne¬†(CIPC) et le Syst√®me d’incidents et de rapports de police¬†(SIRP). Le CIPC offre un service informatis√© de stockage et de recherche d’informations sur les crimes et les criminels. Le SIRP est le principal syst√®me de gestion des dossiers op√©rationnels de la GRC.

La v√©rification a port√© sur les politiques et proc√©dures de la GRC r√©gissant l’acc√®s au CIPC et son utilisation, sur les politiques et proc√©dures relatives √† la suppression des renseignements personnels du SIRP devenus superflus, sur les pratiques de la GRC concernant l’examen de la conformit√© aux modalit√©s d’utilisation du CIPC et du SIRP et sur la gestion des droits d’acc√®s accord√©s aux utilisateurs du SIRP.

Importance de cet enjeu

Le CIPC et le SIRP contiennent tous deux une grande quantit√© de renseignements personnels sensibles qui, s’ils √©taient utilis√©s ou communiqu√©s de fa√ßon inappropri√©e, pourraient avoir une incidence consid√©rable sur les droits et libert√©s des personnes touch√©es ainsi que sur leur r√©putation, leur employabilit√© et leur s√©curit√©. Une atteinte √† la s√©curit√© pourrait aussi mettre en p√©ril des enqu√™tes polici√®res en cours. Chaque ann√©e, la GRC produit un rapport sur les atteintes √† la s√©curit√© li√©es au CIPC. Bon nombre d’entre elles sont caus√©es par la consultation non autoris√©e et l’utilisation inappropri√©e de renseignements personnels qui peuvent avoir des r√©percussions consid√©rables sur la vie priv√©e des personnes affect√©es.

La GRC a également constaté que certains services de police diffusaient des détails sur des condamnations, des remises en liberté ou des réhabilitations à des employeurs sans le consentement éclairé des employés éventuels, contrevenant ainsi à la politique du CIPC.

L’information qui se trouve dans ces bases de donn√©es est asscessible √† une vaste gamme de responsables de l’application de la loi, qu’ils soient au bureau ou sur la route, par exemple¬†:

  • les banques de donn√©es du CIPC comprennent des renseignements sur des permis de conduire et des plaques d’immatriculation, des v√©hicules et des bateaux vol√©s, des mandats d’arr√™t, des personnes et des biens disparus, des casiers judiciaires, des empreintes digitales, des armes √† feu enregistr√©es et des enfants disparus. Le CIPC contient plus de¬†dix¬†millions de documents, et plus de¬†200¬†millions de demandes ont √©t√© trait√©es √† partir de¬†40¬†000 points d’acc√®s en¬†2009;
  • le SIRP est un syst√®me global de gestion des incidents et des dossiers comprenant de l’information sur les gens qui ont √©t√© en contact avec la police en tant que suspects, victimes, t√©moins ou contrevenants, depuis le signalement de l’incident jusqu’√† la conclusion d√©finitive. La GRC et 23 services de police partenaires utilisent le SIRP comme syst√®me de gestion des dossiers op√©rationnels. Environ 1,6¬†million de dossiers d’incidents sont trait√©s chaque ann√©e.

La GRC est responsable du stockage et de la r√©cup√©ration des renseignements judiciaires partag√©s ainsi que de leur communication √† tous les organismes agr√©√©s de justice p√©nale et aux autres organismes travaillant √† la d√©tection et √† la pr√©vention du crime ainsi qu’aux enqu√™tes. Elle est dans l’obligation de prot√©ger la vie priv√©e des personnes, et donc les renseignements personnels dont elle a la charge.

Constatations
Centre d’information de la police canadienne

La GRC a √©labor√© et mis en œuvre des politiques et des proc√©dures pour prot√©ger les renseignements personnels des Canadiennes et Canadiens qui sont consult√©s et utilis√©s dans la base de donn√©es du CIPC. Des atteintes √† la protection des renseignements personnels ont eu lieu, mais relativement rarement. En outre, des m√©canismes sont en place pour enqu√™ter sur ces atteintes et prendre des mesures √† la suite des enqu√™tes. Bon nombre de ces atteintes d√©coulaient de requ√™tes effectu√©es dans le CIPC √† des fins personnelles. Les enqu√™tes montrant que le CIPC a √©t√© mal utilis√© peuvent entra√ģner la modification de la politique du CIPC, une r√©primande, une suspension ou un licenciement.

La GRC a √©tabli des protocoles d’entente¬†(PE) pour r√©gir l’utilisation du CIPC par les organismes dont les pouvoirs d’application de la loi sont limit√©s ou qui jouent des r√īles compl√©mentaires dans le cadre de l’application de la loi. Toutefois, la GRC n’a pas encore conclu de PE officiel avec environ¬†25¬†% des services de police ayant acc√®s au CIPC.

Des vérifications sont régulièrement effectuées pour examiner les enquêtes de sécurité sur le personnel et la sécurité sur le terminal et sur le site à interface du CIPC, ainsi que pour veiller à ce que tous les organismes, la GRC comprise, respectent la politique et les lignes directrices du Manuel de référence du CIPC. Ce système de surveillance vise à faire en sorte que tous les utilisateurs se conforment aux exigences énoncées dans la politique du CIPC, y compris aux principes de protection de la vie privée.

La GRC a appris que des incidents sont survenus r√©cemment¬†: des services de police diffusaient des renseignements sur les ant√©c√©dents judiciaires tir√©s du syst√®me du CIPC, ce qui contrevient directement √† la politique du CIPC, √† la Loi¬†sur le casier judiciaire, √† la Loi¬†sur le syst√®me de justice p√©nale pour les adolescents et √† la Directive minist√©rielle sur la divulgation de renseignements sur les ant√©c√©dents judiciaires. Un certain nombre de services diffusaient des d√©tails sur des condamnations, des remises en libert√© ou des r√©habilitations aux employeurs sans le consentement √©clair√© de l’employ√© √©ventuel et sans confirmer l’identit√© de la personne concern√©e en comparant les empreintes digitales. En novembre¬†2009, la GRC a r√©agi √† ces communications en diffusant une directive √† l’intention des utilisateurs du CIPC pour les aviser que certains organismes ne respectaient pas les politiques et les proc√©dures √©tablies relatives √† l’utilisation du syst√®me. Cette mesure a √©t√© renforc√©e en ao√Ľt¬†2010 lorsque le ministre de la S√©curit√© publique a √©mis une directive afin de clarifier dans quelles conditions les renseignements sur les casiers judiciaires qui se trouvent dans le CIPC pouvaient √™tre utilis√©s et communiqu√©s.

Syst√®me d’incidents et de rapports de police

La GRC a √©labor√© un ensemble complet de politiques, de proc√©dures de fonctionnement normalis√©es et d’ententes pour garantir que le SIRP soit utilis√© en conformit√© avec les principes √©nonc√©s dans la Loi¬†sur la protection des renseignements personnels. Cependant, la suppression de certains renseignements, une meilleure gestion des droits d’acc√®s, des examens syst√©matiques et un acc√®s plus efficace aux journaux sur les activit√©s des utilisateurs sont n√©cessaires pour que les utilisateurs du SIRP respectent les politiques et les proc√©dures de la GRC ainsi que les lois provinciales et f√©d√©rales en mati√®re de protection de la vie priv√©e.

La GRC a √©labor√© des politiques et des proc√©dures d’exploitation normalis√©es qui indiquent pendant combien de temps les renseignements personnels peuvent √™tre conserv√©s dans le SIRP avant d’√™tre isol√©s ou supprim√©s. Cependant, les renseignements personnels sont conserv√©s plus longtemps, contrairement aux dispositions de la Loi¬†sur la protection des renseignements personnels. En outre, la GRC ne dispose d’aucun processus pour supprimer l’acc√®s aux dossiers sur les condamnations ayant fait l’objet d’une r√©habilitation ou sur les condamnations injustifi√©es.

Aucun examen actif des comptes d’utilisateur du SIRP n’est effectu√©. La politique de la GRC sur le SIRP stipule que le droit d’acc√®s d’un utilisateur doit √™tre r√©voqu√© si celui‑ci n’en a plus besoin pour ex√©cuter ses t√Ęches professionnelles ou apr√®s 14¬†mois d’inactivit√©, mais nous avons vu que plus de 1¬†000¬†utilisateurs ayant un compte actif n’avaient pas consult√© le SIRP depuis 14¬†mois ou plus. Nous avons aussi constat√© que le processus d’examen de l’activit√© des utilisateurs du SIRP est lourd, ce qui complique les enqu√™tes sur les utilisations indues du syst√®me.

La GRC n’a pas √©t√© en mesure de d√©montrer qu’elle examine syst√©matiquement les utilisateurs du SIRP pour s’assurer que les renseignements personnels sont utilis√©s en conformit√© avec les politiques en vigueur.

La GRC a répondu à nos constatations; ses réponses sont indiquées après nos recommandations tout au long du présent rapport.

Haut de la pageTable des matièresIntroduction

Contexte

1. La GRC est le service de police national du Canada. Elle compte environ 30¬†000¬†membres et employ√©s dont le mandat consiste notamment √† pr√©venir les crimes, √† mener des enqu√™tes, √† maintenir la paix et l’ordre, √† appliquer les lois, √† contribuer √† la s√©curit√© nationale et √† prot√©ger les hommes d’√Čtat, les dignitaires en visite et les missions √©trang√®res.

2. La GRC applique les lois f√©d√©rales partout au pays ainsi que les lois provinciales et territoriales dans l’ensemble des provinces et territoires (exception faite du Qu√©bec et de l’Ontario). Elle offre aussi des services de police √† forfait √† pr√®s de 200¬†municipalit√©s. La GRC fournit √©galement des services d’enqu√™te et de soutien op√©rationnel √† plus de¬†500¬†organismes canadiens d’application de la loi et de justice p√©nale.

3. Le CIPC et le SIRP sont deux des bases de données à la disposition de la GRC pour assurer ces services.

4. Le CIPC offre un service informatis√© de stockage et de recherche d’informations sur les crimes et les criminels. Il est tr√®s utilis√© dans le milieu de l’application de la loi et de la justice p√©nale. En¬†2009, le CIPC poss√©dait 10¬†millions de documents et a trait√© plus de 200¬†millions de requ√™tes √† partir de 40¬†000¬†points d’acc√®s. Il permet √† plus de 80¬†000 agents de la paix de se connecter au syst√®me informatique central dans plus de 3¬†000 services de police, d√©tachements de la GRC et organismes f√©d√©raux et provinciaux de l’ensemble du pays.

5. Les banques de donn√©es du CIPC comprennent des renseignements sur des permis de conduire et des plaques d’immatriculation, des v√©hicules et des bateaux vol√©s, des mandats d’arr√™t, des personnes et des biens disparus, des casiers judiciaires, des empreintes digitales, l’enregistrement d’armes √† feu, des enfants disparus, etc. Le CIPC est consid√©r√© comme le pilier du syst√®me de justice p√©nale. Il permet aux responsables de l’application de la loi d’avoir acc√®s √† une grande quantit√© d’informations sur les Canadiennes et Canadiens. Les tribunaux, les commissions des lib√©rations conditionnelles et les minist√®res et organismes gouvernementaux comme le Service correctionnel du Canada et l’Agence des services frontaliers du Canada ont aussi recours au CIPC dans divers buts.

6. Le SIRP est le syst√®me de gestion des relev√©s judiciaires de la GRC. Il s’agit d’un syst√®me de gestion des dossiers comprenant des renseignements sur les gens qui ont √©t√© en contact avec la police en tant que suspects, victimes, t√©moins ou contrevenants. Le SIRP a √©t√© instaur√© en¬†2003 dans le but de conserver la trace de tous les aspects d’une enqu√™te depuis le signalement de l’incident jusqu’√† la conclusion d√©finitive si l’affaire est port√©e devant les tribunaux. La GRC utilise le SIRP comme syst√®me de gestion des dossiers op√©rationnels, tout comme 23¬†services de police partenaires de petite taille (comptant g√©n√©ralement moins de 300¬†agents) qui ne poss√®dent pas leur propre syst√®me √©lectronique de gestion des dossiers.

Encadr√© no 1 : Exemple d’utilisation du CIPC et du SIRP

Un agent de la GRC arr√™te un conducteur pour exc√®s de vitesse. Il commence par entrer une requ√™te dans le CIPC pour voir si le v√©hicule a √©t√© vol√© ou si le conducteur est vis√© par un mandat non ex√©cut√©. L’agent peut ensuite faire une recherche dans le SIRP pour savoir si le v√©hicule ou le conducteur ont √©t√© impliqu√©s dans d’autres incidents. Un dossier d’incident est cr√©√© dans le SIRP pour prendre note de l’√©v√©nement. Le dossier sera mis √† jour pour rendre compte des faits ult√©rieurs, par exemple des accusations port√©es et des d√©cisions prises √† leur sujet.

Thème de la vérification

7. La vérification visait à déterminer si la GRC gère adéquatement les renseignements personnels contenus dans les bases de données du CIPC et du SIRP.

8. Nous n’avons pas examin√© comment les renseignements contenus dans ces bases de donn√©es influaient sur les d√©cisions prises dans le cadre des activit√©s quotidiennes de la GRC. De plus, la v√©rification n’a pas port√© sur les mesures de s√©curit√© prises par d’autres utilisateurs du CIPC et du SIRP que la GRC. L’information contenue dans le CIPC est diffus√©e √† l’√©chelle internationale par l’entremise d’Interpol et est communiqu√©e aux organismes am√©ricains d’application de la loi comme l’United¬†States Customs and Border Protection¬†(USCBP). La v√©rification n’a pas port√© sur les mesures de s√©curit√© li√©es √† ces ententes d’√©change de renseignements.

9. La section √Ä propos de la v√©rification du pr√©sent rapport donne plus de d√©tails sur l’objectif, la port√©e, la d√©marche et les crit√®res de la v√©rification.

Haut de la pageTable des matièresObservations et recommandations

Centre d’information de la police canadienne (CIPC)

10. Le commissaire de la GRC est l’instance de gouvernance de l’ensemble du CIPC. Le Comit√© consultatif du CIPC formule des conseils et des recommandations au commissaire pour ce qui est d’√©tablir le champ d’application du CIPC et de d√©terminer l’admissibilit√© des organismes participants. Le Comit√© consultatif du CIPC est compos√© de repr√©sentants des grands services de police et d’organismes f√©d√©raux et provinciaux d’application de la loi.

11. La GRC est charg√©e d’h√©berger la base de donn√©es du CIPC, d’√©tablir des contr√īles et de veiller √† ce que des activit√©s de surveillance soient men√©es. En fonction du mandat de l’organisme qui consulte la base de donn√©es du CIPC, la GRC accordera un niveau d’acc√®s appropri√© en se basant sur une recommandation du Comit√© consultatif du CIPC. Afin de garantir le respect des modalit√©s suivant lesquelles l’acc√®s a √©t√© accord√©, la GRC supervise un programme de v√©rification pour que des examens soient effectu√©s r√©guli√®rement. Ces v√©rifications permettent notamment d’examiner si les donn√©es qui doivent √™tre entr√©es dans la base de donn√©es du CIPC sont compl√®tes et si l’acc√®s au syst√®me est suffisamment s√©curis√©. Cependant, la responsabilit√© de fournir des renseignements exacts en temps opportun incombe uniquement √† l’organisme qui entre les donn√©es dans le CIPC.

12. Compte tenu de la sensibilit√© des renseignements personnels qui se trouvent dans cette base de donn√©es, nous esp√©rions que des politiques et des proc√©dures soient en place pour que les utilisateurs du CIPC b√©n√©ficient d’un niveau d’acc√®s adapt√©. Nous nous attendions √©galement √† ce que la GRC ait √©tabli des r√®gles concernant l’acc√®s √† cette base de donn√©es et l’utilisation appropri√©e de celle‑ci et v√©rifie si les utilisateurs les respectent pour √©viter la communication non autoris√©e de renseignements personnels.

13. Nous avons examiné si la GRC :

  • dispose de politiques et de proc√©dures pour r√©gir l’acc√®s aux renseignements personnels contenus dans le CIPC et leur utilisation;
  • surveille le respect par les utilisateurs des modalit√©s d’acc√®s et d’utilisation relatives au CIPC.
Les politiques et les procédures destinées à protéger les renseignements personnels consultés à partir du CIPC sont bien établies

14. Le Comit√© consultatif du CIPC examine les demandes d’acc√®s au syst√®me des organismes et, s’il donne son approbation, les transf√®re √† la GRC pour qu’elles soient trait√©es. Un certain nombre de niveaux d’acc√®s peuvent √™tre accord√©s en fonction du mandat de l’organisme demandeur.

15. La politique stipule que, si l’acc√®s au CIPC est accord√© √† un organisme, la GRC doit r√©aliser une √©valuation de s√©curit√© pour s’assurer que l’infrastructure technique de l’organisme est appropri√©e. Nous avons examin√© le processus d’√©valuation et constat√© que les exigences comportent de nombreux √©l√©ments essentiels pour s√©curiser l’environnement, dont la s√©curit√© physique, l’authentification des utilisateurs et les param√®tres de configuration n√©cessaires pour s√©curiser le r√©seau. Nous consid√©rons que le cadre d’√©valuation de la s√©curit√© est suffisamment solide et complet, mais la GRC n’a pu d√©montrer que tous les organismes ayant acc√®s au CIPC avaient fait l’objet d’une √©valuation de s√©curit√©.

16. Des politiques, des proc√©dures et des ententes √©crites ont √©t√© mises en place pour prot√©ger les renseignements personnels en raison de la grande quantit√© de donn√©es enregistr√©es dans le CIPC et du nombre important d’utilisateurs. Des PE comprenant des clauses sur la protection de la vie priv√©e √©tablissent les modalit√©s li√©es √† l’utilisation du CIPC par les organismes membres. La GRC a r√©uni les politiques et les proc√©dures dans un m√™me document¬†: le Manuel de r√©f√©rence du CIPC (le Manuel).

17. Le Manuel comprend les politiques et les proc√©dures utilis√©es pour r√©glementer les op√©rations g√©n√©rales du CIPC et il aborde les principes relatifs √† l’√©quit√© dans le traitement de l’information √©nonc√©s dans la Loi¬†sur la protection des renseignements personnels. On y trouve des principes sur l’utilisation, la collecte, l’exactitude, la protection, la conservation et l’√©limination des donn√©es.

18. La GRC a appris que des incidents sont survenus r√©cemment¬†: des services de police diffusaient des renseignements sur les ant√©c√©dents judiciaires tir√©s du syst√®me du CIPC, ce qui contrevient directement √† la politique du CIPC, √† la Loi¬†sur le casier judiciaire, √† la Loi¬†sur le syst√®me de justice p√©nale pour les adolescents et √† la Directive minist√©rielle sur la divulgation de renseignements sur les ant√©c√©dents judiciaires. La GRC nous a inform√©s qu’un certain nombre de services diffusaient des d√©tails sur les condamnations, les remises en libert√© ou les r√©habilitations aux employeurs sans le consentement √©clair√© de l’employ√© √©ventuel et sans confirmer l’identit√© de la personne concern√©e en comparant les empreintes digitales.

19. En novembre¬†2009, la GRC a r√©agi √† ces communications en diffusant une directive √† l’intention des utilisateurs du CIPC pour les aviser que certains organismes ne respectaient pas les politiques et les proc√©dures en vigueur relativement √† l’utilisation du syst√®me du CIPC. Puis, en ao√Ľt¬†2010, le ministre de la S√©curit√© publique a √©mis une directive afin de clarifier dans quelles conditions les renseignements sur les casiers judiciaires qui se trouvent dans le CIPC peuvent √™tre utilis√©s et communiqu√©s.

20. Une entente √©crite, par exemple un PE, r√©git la conformit√© avec la politique du CIPC. Des PE entre la GRC et les organismes membres sont en place pour r√©glementer l’acc√®s au CIPC. Ils varient quelque peu en fonction de la cat√©gorie de l’organisme ou, dans certains cas, de son mandat pr√©cis, mais tous les PE comprennent des proc√©dures √† respecter en ce qui a trait au traitement des renseignements personnels contenus dans la base de donn√©es. Des exigences relatives aux cotes de s√©curit√© du personnel ayant acc√®s au CIPC, dont la v√©rification des casiers judiciaires et la formation obligatoire, sont √©tablies. Les PE pr√©cisent la marche √† suivre lorsque l’on diffuse des renseignements du CIPC et obligent les organismes √† signaler tout incident connu ou soup√ßonn√©. Ils stipulent que les organismes doivent se conformer aux lois provinciales et f√©d√©rales applicables en mati√®re d’acc√®s √† l’information et de protection des renseignements personnels. Un organisme qui ne respecte pas ses obligations risque de perdre ses privil√®ges d’acc√®s au CIPC.

21. La GRC a conclu des PE avec des organismes dont les pouvoirs d’application de la loi sont limit√©s, comme l’Agence des services frontaliers du Canada, l’Agence du revenu du Canada, Citoyennet√© et Immigration Canada, le Service correctionnel du Canada et la Commission nationale des lib√©rations conditionnelles. Des organismes jouant un r√īle compl√©mentaire en mati√®re d’application de la loi, comme Passeport¬†Canada, Transports¬†Canada et le Bureau d’assurance du Canada, disposent aussi d’un PE. Les PE en vigueur sont renouvel√©s p√©riodiquement. √Ä ce moment, les exigences impos√©es aux organismes relativement √† l’acc√®s sont r√©√©valu√©es et maintenues ou modifi√©es.

22. Par contre, la GRC n’a pas encore √©tabli de PE officiel avec environ 25¬†% des services de police qui ont acc√®s au CIPC. Auparavant, il n’√©tait pas n√©cessaire d’√©tablir un PE avec ces services, car l’acc√®s au CIPC leur √©tait accord√© parce que leur r√īle de base est de maintenir l’ordre. Pendant notre v√©rification, la GRC n√©gociait les modalit√©s d’utilisation avec les services de police qui n’avaient pas encore de PE.

23. Recommandation

Le CIPC devrait √©tablir un √©ch√©ancier clair concernant l’√©tablissement de PE, comprenant des clauses sur la protection des renseignements personnels, avec tous les services de police.

Réponse de la GRC :

Comme l’a demand√© le sous‑commissaire, Soutien aux services de police, en novembre¬†2010, le CIPC n√©gocie activement avec les derniers services de police¬†(25¬†%) qui n’ont pas encore sign√© de PE. Comme pr√©vu, le mod√®le de PE ne s’applique pas n√©cessairement dans tous les cas et les diff√©rences font l’objet de discussions pour que des PE soient conclus d’ici le 31¬†mars¬†2012.

24. Selon la politique du CIPC, les utilisateurs d’un organisme approuv√© doivent recevoir une formation appropri√©e avant d’avoir acc√®s au CIPC. Le programme de formation comprend des modules montrant aux utilisateurs quelles sont leurs obligations en mati√®re de protection des renseignements personnels et les utilisations acceptables du CIPC. Les utilisateurs sont √©galement avis√©s que le CIPC doit √™tre utilis√© pour des motifs l√©gitimes et non √† des fins personnelles, et que les pratiques contraires √† la politique du CIPC feront l’objet d’une enqu√™te pouvant entra√ģner des p√©nalit√©s ou des cons√©quences allant de la formation de consolidation au licenciement en passant par une amende ou une suspension.

25. Nous avons examin√© les mesures de contr√īle qui sont en place pour veiller √† ce que les utilisateurs soient autoris√©s √† acc√©der au CIPC. Nous avons constat√© qu’une strat√©gie permanente d’att√©nuation des risques li√©s √† la TI oblige les organismes membres √† prendre des mesures de s√©curit√© accrue en exigeant que les utilisateurs aient besoin tant d’un jeton physique que d’un mot de passe pour se connecter au syst√®me du CIPC. On parle alors d’une identification et d’une authentification robustes.

26. Nous avons cependant constat√© que¬†33¬†% des organismes membres du CIPC n’avaient pas encore √©tabli cette proc√©dure d’authentification des utilisateurs en raison des contraintes techniques de leurs infrastructures. L’objectif de la GRC √©tait que ces organismes d√©ploient les mesures de s√©curit√© requises au plus tard en avril¬†2009. La GRC surveille les progr√®s des organismes qui accusent un retard √† ce sujet.

Un syst√®me de surveillance est en place pour r√©gir l’utilisation appropri√©e

27. Les services de police et d’autres organismes utilisent les renseignements consign√©s dans le CIPC aux fins d’enqu√™te et d’application de la loi, ce qui a chaque jour des r√©percussions sur des milliers de Canadiennes et Canadiens. Par cons√©quent, il est important que les normes et les pratiques du CIPC soient respect√©es afin de garantir que les renseignements contenus dans le syst√®me soient exacts et que les proc√©dures de traitement de l’information soient conformes aux lois applicables dans le domaine de la protection des renseignements personnels.

28. La responsabilit√© de maintenir les renseignements exacts et √† jour incombe √† l’organisme du CIPC qui fournit l’information. La GRC envoie chaque mois un rapport de validation √† chaque organisme collaborateur pour examiner l’int√©grit√© des donn√©es. Les organismes doivent v√©rifier la validit√© et l’exactitude des renseignements qu’ils ont vers√©s dans le syst√®me et apporter les modifications n√©cessaires.

29. La GRC effectue des v√©rifications des organismes membres du CIPC (sauf au Qu√©bec et en Ontario, o√Ļ les v√©rifications sont r√©alis√©es par la S√Ľret√© du Qu√©bec et le minist√®re de la S√©curit√© communautaire et des Services correctionnels, respectivement) pour garantir le respect du processus de validation et d√©terminer si un organisme se conforme aux principes de protection des renseignements personnels √©nonc√©s dans la politique du CIPC. Des proc√©dures, des outils et des rapports normalis√©s sont utilis√©s. La politique du CIPC exige qu’une v√©rification de la conformit√© de chaque organisme avec la politique et les proc√©dures soit r√©alis√©e au moins une fois tous les quatre¬†ans. Tout nouvel organisme fait l’objet d’une v√©rification moins d’un an apr√®s avoir obtenu l’acc√®s au CIPC. Au cours de l’exercice financier¬†2009‑2010, 477¬†v√©rifications du CIPC ont √©t√© r√©alis√©es.

30. Les v√©rificateurs se penchent sur la qualit√© et l’int√©grit√© des dossiers enregistr√©s dans le syst√®me du CIPC et √©valuent le savoir et la comp√©tence du personnel de l’organisme concernant le syst√®me. En outre, ils examinent le filtrage de s√©curit√© du personnel et la s√©curit√© sur le terminal et le site √† interface du CIPC en plus de s’assurer que tous les organismes respectent la politique et les lignes directrices du Manuel de r√©f√©rence du CIPC.

31. Lorsqu’ils ont termin√© leur travail, les v√©rificateurs pr√©parent un rapport r√©capitulatif r√©sumant leurs constatations et le distribuent au Comit√© consultatif du CIPC. Un rapport sur le nombre de v√©rifications effectu√©es dans chaque r√©gion est publi√© dans le rapport annuel du CIPC. Une v√©rification de suivi est r√©alis√©e quelques mois apr√®s la premi√®re v√©rification pour veiller √† ce que les lacunes soient corrig√©es.

32. Nous avons √©galement observ√© que la GRC fait le suivi des atteintes √† la s√©curit√© des donn√©es du CIPC. Elle supervise les enqu√™tes sur ces atteintes signal√©es par des services de police et des particuliers. Les atteintes √† la s√©curit√© des donn√©es sont rares et elles font l’objet d’une enqu√™te. Les activit√©s de v√©rification ont permis de d√©tecter environ 10¬†% des incidents li√©s au CIPC; les autres ont √©t√© d√©cel√©s au moyen d’examens continus ou de plaintes. Plus de 200¬†millions de requ√™tes sont faites chaque ann√©e dans le CIPC. En¬†2009, 280¬†atteintes ont √©t√© signal√©es; 24 √©taient fond√©es, 86 ne l’√©taient pas et 170 font toujours l’objet d’une enqu√™te. Bon nombre de ces atteintes consistaient en une requ√™te ex√©cut√©e √† des fins personnelles. Les atteintes √† la s√©curit√© peuvent entra√ģner une modification de la politique du CIPC, une r√©primande, une amende, une suspension ou le licenciement de l’employ√© coupable.

Syst√®me d’incidents et de rapports de police (SIRP)

33. Le SIRP est une base de donn√©es de relev√©s judiciaires utilis√©e par la GRC et 23¬†services policiers partenaires comme syst√®me de gestion des dossiers op√©rationnels. Les partenaires sont des services de police de petite taille (comptant moins de 300¬†agents) qui ne poss√®dent pas leur propre syst√®me √©lectronique de gestion des dossiers. La GRC donne acc√®s aux bases de donn√©es du SIRP et h√©berge les donn√©es. Environ 1,6¬†million de dossiers d’incidents sont trait√©s chaque ann√©e √† l’aide du SIRP.

34. Le SIRP a √©t√© lanc√© √† l’automne¬†2003 et mis en service partout au pays √† l’√©t√©¬†2005. Il sert √† conserver la trace de tous les aspects d’une enqu√™te depuis le signalement d’un incident jusqu’√† la conclusion d√©finitive si l’affaire est port√©e devant les tribunaux. Il comprend de l’information sur les gens qui ont √©t√© en contact avec la police en tant que suspects, victimes, t√©moins ou contrevenants.

35. Compte tenu de la sensibilit√© des renseignements personnels qui se trouvent dans cette base de donn√©es, nous nous attendions √† ce que des politiques et des proc√©dures garantissent que les renseignements personnels du SIRP sont trait√©s en conformit√© avec les exigences pr√©vues par la loi en mati√®re de conservation et d’√©limination et soient prot√©g√©s contre les acc√®s non autoris√©s. Les politiques et les proc√©dures sur la conservation d√©coulent des lois en vigueur comme la Loi¬†sur le casier judiciaire et la Loi¬†sur le syst√®me de justice p√©nale pour les adolescents.

36. Nous avons vérifié si la GRC :

  • avait √©tabli des politiques et des proc√©dures destin√©es √† supprimer les renseignements personnels du SIRP qui n’√©taient plus n√©cessaires;
  • g√©rait ad√©quatement l’acc√®s au SIRP;
  • surveillait l’utilisation du SIRP pour garantir la conformit√© avec ses politiques et ses proc√©dures destin√©es √† prot√©ger les renseignements personnels.
Des renseignements personnels sont conservés plus longtemps que nécessaire

37. Nous avons constat√© que la GRC a √©labor√© des politiques et des proc√©dures de fonctionnement normalis√©es relatives au SIRP qui indiquent combien de temps les renseignements peuvent √™tre conserv√©s avant d’√™tre isol√©s ou supprim√©s en vertu des lois en vigueur.

38. La loi prescrit l’isolement de certains renseignements lorsque la p√©riode de conservation est termin√©e, c’est‑√†‑dire que les renseignements doivent √™tre plac√©s dans un r√©pertoire sp√©cial auquel l’acc√®s est tr√®s restreint. Les types de renseignements isol√©s comprennent les d√©tails li√©s aux lib√©rations inconditionnelles et conditionnelles et aux r√©habilitations.

39. La loi exige que tous les documents cr√©√©s dans le SIRP soient √©limin√©s √† la fin de la p√©riode de conservation de chaque cat√©gorie de renseignements. Avant la suppression, les dossiers sont √©valu√©s pour voir s’ils devraient √™tre conserv√©s par Biblioth√®que et Archives Canada.

40. Nous avons examin√© les proc√©dures r√©gissant la conservation des renseignements personnels dans le SIRP et constat√© que la base de donn√©es est con√ßue pour supprimer tous les renseignements sur les incidents qui ont atteint la date de leur √©limination, sauf s’ils ont une valeur archivistique. La GRC a d√©sactiv√© cette fonction. Par cons√©quent, les renseignements personnels d’une personne dont les donn√©es auraient d√Ľ √™tre supprim√©es sont encore facilement accessibles dans la base de donn√©es du SIRP.

41. La GRC a mentionné que cette mesure a été prise pour tirer des renseignements statistiques du SIRP. Par conséquent, les renseignements qui devraient être supprimés parce que la période de conservation est terminée demeurent dans la base.

42. Recommandation

La GRC devrait √©liminer les donn√©es du SIRP qui doivent l’√™tre de fa√ßon √† respecter la Loi¬†sur la protection des renseignements personnels.

Réponse de la GRC :

La GRC est d’accord et prendra imm√©diatement des mesures pour corriger la situation.

43. Le droit d’acc√®s aux dossiers sur les condamnations ayant fait l’objet d’une r√©habilitation n’est pas retir√© suivant les besoins. Durant l’examen des proc√©dures de suppression impos√©es par la Loi¬†sur le casier judiciaire et la Loi¬†sur le syst√®me de justice p√©nale pour les adolescents, nous avons constat√© que la GRC n’a pas encore enclench√© un processus pour supprimer, dans les bases de donn√©es du SIRP, les dossiers li√©s aux condamnations ayant fait l’objet d’une r√©habilitation.

44. Ces dossiers ne devraient plus √™tre accessibles √† partir du SIRP. Or, si l’on cherche le nom d’une personne r√©habilit√©e dans le syst√®me, les d√©tails sur sa condamnation peuvent appara√ģtre.

45. Il est important pour les Canadiennes et Canadiens r√©habilit√©s que de tels renseignements ne soient pas communiqu√©s de fa√ßon inopportune, car cela pourrait nuire √† leurs chances d’obtenir un emploi, de voyager, d’√©tudier ou de faire du b√©n√©volat. La Loi¬†canadienne sur les droits de la personne interdit la discrimination fond√©e sur un dossier ayant fait l’objet d’une r√©habilitation.

Encadr√© no 2¬†: Communication de renseignements sur les infractions ayant fait l’objet d’une r√©habilitation ou d’une absolution

Dans certains cas exceptionnels pr√©vus par la Loi¬†sur le casier judiciaire, l’existence d’une infraction ayant fait l’objet d’une r√©habilitation ou d’une absolution peut √™tre communiqu√©e. Les nom, date de naissance et domicile de la personne qui a commis une infraction ayant fait l’objet d’une r√©habilitation ou d’une absolution peuvent √™tre communiqu√©s √† la police pour favoriser l’enqu√™te lorsque les empreintes digitales de cette personne se trouvent sur les lieux d’un crime. Ces renseignements peuvent aussi √™tre divulgu√©s aux services de police comp√©tents pour identifier une personne morte ou amn√©sique. L’existence d’une condamnation pour une infraction √† caract√®re sexuel peut √™tre communiqu√©e dans le contexte d’une v√©rification de l’aptitude √† travailler aupr√®s de personnes vuln√©rables. Le repr√©sentant autoris√© d’un organisme responsable du bien‑√™tre de personnes vuln√©rables peut demander une telle recherche pour faire une v√©rification sur un demandeur ayant l’intention de travailler ou de faire du b√©n√©volat si celui‑ci a donn√© son consentement √©crit √† la v√©rification et √† la communication de ces renseignements.

46. Il n’y a aucune proc√©dure pour supprimer les condamnations injustifi√©es. La GRC n’a g√©r√© aucun cas connu de condamnation injustifi√©e depuis la mise en production compl√®te du SIRP en¬†2005, mais aucune proc√©dure n’est pr√©vue pour supprimer les dossiers li√©s √† de telles condamnations. Il y a des proc√©dures de fonctionnement normalis√©es pour isoler les renseignements autres que les r√©habilitations et traiter les absolutions conditionnelles et inconditionnelles, mais la GRC ne dispose d’aucun processus pour supprimer les dossiers sur les condamnations injustifi√©es.

47. Comme dans le cas des r√©habilitations, il est important de supprimer les dossiers relatifs √† des condamnations injustifi√©es pour √©viter de limiter les possibilit√©s qu’ont les Canadiennes et Canadiens de travailler, de voyager, d’√©tudier ou de faire du b√©n√©volat.

48. Recommandation

Afin d’att√©nuer le risque d’une communication illicite ou inappropri√©e, la GRC devrait instaurer des processus pour supprimer, selon les besoins, l’acc√®s aux dossiers li√©s aux infractions ayant fait l’objet d’une r√©habilitation ou aux condamnations injustifi√©es qui se trouvent dans la base de donn√©es du SIRP.

Réponse de la GRC :

La GRC adoptera imm√©diatement un processus et la technologie n√©cessaire pour isoler les renseignements li√©s aux personnes r√©habilit√©es. En outre, la GRC modifiera les m√©thodes de fonctionnement normalis√©es du SIRP sur l’isolement d’information autre que les r√©habilitations en y ajoutant des directives sur le traitement des condamnations injustifi√©es.

Les comptes d’utilisateur ne font l’objet d’aucun examen

49. Les contr√īles d’acc√®s sont des outils importants pour d√©terminer qui a acc√®s √† quelles donn√©es et quelles op√©rations les utilisateurs ont le droit de faire. Ces op√©rations peuvent comprendre la cr√©ation, la lecture, la mise √† jour ou la suppression de donn√©es. Nous avons examin√© les contr√īles d’acc√®s instaur√©s par la GRC pour veiller √† ce que les renseignements personnels du SIRP soient prot√©g√©s convenablement.

50. Nous avons constat√© que la GRC dispose de contr√īles d’acc√®s fond√©s sur les r√īles en ce qui concerne la base de donn√©es du SIRP. Les niveaux d’acc√®s sont √©tablis en fonction des exigences du poste actuel de la personne. Toutefois, lorsque les utilisateurs du SIRP changent d’emploi, leurs droits d’acc√®s ne sont pas toujours mis √† jour ou r√©voqu√©s en temps opportun.

51. La politique de la GRC concernant le SIRP stipule que le droit d’acc√®s de l’utilisateur doit √™tre supprim√© s’il n’est plus n√©cessaire ou apr√®s quatorze¬†mois d’inactivit√©. Pourtant, au cours de notre enqu√™te, nous avons rep√©r√© plus de 1¬†000¬†utilisateurs dont les comptes actifs n’avaient pas servi depuis quatorze¬†mois ou plus. La GRC n’a pas √©t√© en mesure de produire rapidement un rapport √† jour et exact sur les utilisateurs et l’√©tat de leur compte.

52. Si la GRC avait examin√© l’activit√© des utilisateurs r√©guli√®rement, ces comptes auraient √©t√© d√©sactiv√©s. Le fait de laisser les droits d’acc√®s aux utilisateurs qui ne sont plus autoris√©s √† consulter le SIRP comporte un risque. Sans examens r√©guliers, il pourrait s’√©couler un long moment avant que les consultations non autoris√©es soient d√©couvertes.

53. Recommandation

La GRC devrait examiner r√©guli√®rement l’√©tat des comptes d’utilisateur du SIRP et retirer l’acc√®s s’il n’est plus n√©cessaire pour effectuer les t√Ęches professionnelles.

Réponse de la GRC :

La GRC prendra imm√©diatement des mesures pour corriger la situation et examinera ses pratiques actuelles de formation des employ√©s qui examinent les comptes d’utilisateur du SIRP.

54. La capacit√© de surveiller les op√©rations des utilisateurs est limit√©e. Nous avons examin√© les capacit√©s de journalisation des transactions dans le SIRP pour savoir si la GRC pouvait se pencher sur les incidents d’utilisation indue qui sont signal√©s. Le SIRP permet de faire le suivi des op√©rations des utilisateurs dans les journaux de v√©rification. Les renseignements enregistr√©s comprennent des d√©tails sur les documents examin√©s et les modifications apport√©es.

55. La GRC nous a inform√©s que, si une utilisation indue est soup√ßonn√©e, la quantit√© de travail n√©cessaire pour r√©unir et examiner les journaux de v√©rification limite la capacit√© de mener une enqu√™te. Le SIRP comprend un outil permettant d’examiner automatiquement les journaux de v√©rification, mais il n’a pas √©t√© mis en place. Sans cette fonction, l’extraction des d√©tails sur l’activit√© des utilisateurs est un travail tr√®s ardu. Il est donc difficile pour la GRC de faire enqu√™te sur les mauvaises utilisations du syst√®me qui sont signal√©es.

56. Recommandation

Pour aider √† mener des enqu√™tes sur la consultation non autoris√©e de renseignements personnels enregistr√©s dans le SIRP, la GRC devrait activer l’outil d’examen des journaux de v√©rification.

Réponse de la GRC :

La GRC activera imm√©diatement l’outil de consultation des journaux de v√©rification, qui est une m√©thode efficace pour r√©unir et examiner les entr√©es de ces journaux.

Le respect des politiques r√©gissant l’utilisation des renseignements personnels ne fait pas syst√©matiquement l’objet d’une v√©rification

57. En plus de la GRC, 23¬†services de police partenaires se servent du SIRP pour g√©rer leurs dossiers op√©rationnels. Nous avons examin√© les politiques et les proc√©dures de la GRC r√©gissant l’utilisation du SIRP, les PE entre la GRC et les services de police partenaires et la fa√ßon dont la GRC veille √† ce que les services de police respectent les modalit√©s de ces ententes.

58. La GRC a √©tabli des politiques et des proc√©dures pour s’assurer que son utilisation du SIRP est conforme aux principes d’utilisation des renseignements personnels √©tablis dans la Loi¬†sur la protection des renseignements personnels. Elle fixe les conditions d’utilisation des PE avec tous les services de police partenaires pour que le syst√®me soit utilis√© en conformit√© avec ces politiques et proc√©dures.

59. Les PE comprennent des conditions sur l’utilisation et la diffusion acceptables des renseignements contenus dans le SIRP, des clauses sur la s√©curit√©, des exigences en mati√®re de formation, des proc√©dures de signalement des incidents et des protocoles pour faire en sorte que les renseignements contenus dans le SIRP soient utilis√©s √† des fins l√©gitimes d’application de la loi.

60. √Ä moins d’une r√©siliation, les PE sont en vigueur pendant cinq¬†ans √† partir de la date de la signature. Les motifs de r√©siliation comprennent l’utilisation et la communication sans autorisation, tout incident li√© aux politiques ou r√®glements sur la s√©curit√© et la violation de la politique de la GRC concernant le SIRP.

61. En examinant les PE, nous avons constat√© que des clauses permettent √† la GRC de mener des v√©rifications sur les organismes pour s’assurer qu’ils respectent les modalit√©s. La GRC a le droit de surveiller l’utilisation de ses r√©seaux, y¬†compris par des employ√©s pr√©cis, et de mener des examens de s√©curit√© p√©riodiques en visitant les locaux des services de police partenaires. Les v√©rifications de l’utilisation du SIRP sont importantes puisqu’elles garantissent √† la GRC que les utilisateurs respectent les proc√©dures r√©gissant l’utilisation des renseignements personnels du SIRP.

62. La GRC n’a pu d√©montrer qu’elle entreprend syst√©matiquement des examens aupr√®s des services de police partenaires pour veiller √† ce que les renseignements personnels du SIRP soient utilis√©s en conformit√© avec les modalit√©s applicables. Une quantit√© limit√©e de v√©rifications ont √©t√© entreprises. Par exemple, tous les services de police partenaires de l’Alberta, mais seulement quelques‑uns de la Nouvelle‑√Čcosse et aucun de l’√éle‑du‑Prince‑√Čdouard, n’ont fait l’objet d’une v√©rification. De plus, la GRC n’a pu prouver qu’elle examinait syst√©matiquement ses propres utilisateurs.

63. Recommandation

La GRC devrait adopter un processus d’examen r√©gulier fournissant l’assurance que tous les utilisateurs respectent les politiques et les proc√©dures r√©gissant l’utilisation des renseignements personnels enregistr√©s dans le SIRP.

Réponse de la GRC :

La GRC examinera imm√©diatement son processus de v√©rification actuel et apportera des modifications au besoin de fa√ßon √† ce que les utilisateurs du SIRP, tant √† l’interne qu’√† l’externe, fassent l’objet d’examens.

Haut de la pageTable des matièresConclusion

64. La GRC a √©labor√© et mis en œuvre des politiques et des proc√©dures pour prot√©ger les renseignements personnels des Canadiennes et Canadiens qui sont consult√©s dans la base de donn√©es du CIPC. Des atteintes √† la protection des renseigFnements personnels ont eu lieu, mais relativement rarement. En outre, des m√©canismes sont en place pour enqu√™ter sur ces atteintes et prendre des mesures √† la suite des enqu√™tes. La GRC a √©tabli des PE pour r√©gir l’utilisation du CIPC par les organismes dont les pouvoirs d’application de la loi sont limit√©s ou qui jouent des r√īles compl√©mentaires dans le cadre de l’application de la loi. Toutefois, la GRC n’a pas encore conclu de PE officiel avec environ¬†25¬†% des services de police ayant acc√®s au CIPC.

65. Des vérifications sont régulièrement effectuées pour examiner les enquêtes de sécurité sur le personnel et la sécurité sur le terminal et le site à interface du CIPC, ainsi que pour veiller à ce que tous les organismes, dont la GRC, respectent la politique et les lignes directrices du Manuel de référence du CIPC. Ce système de surveillance vise à faire en sorte que tous les utilisateurs respectent les principes de protection des renseignements personnels énoncés dans la politique du CIPC.

66. La GRC a √©labor√© des politiques et des proc√©dures d’exploitation normalis√©es qui indiquent pendant combien de temps les renseignements peuvent √™tre conserv√©s dans le SIRP avant d’√™tre isol√©s ou supprim√©s. Cependant, les renseignements personnels sont conserv√©s plus longtemps qu’il est n√©cessaire, contrairement aux dispositions de la Loi¬†sur la protection des renseignements personnels. En outre, la GRC ne dispose d’aucun processus pour supprimer l’acc√®s aux dossiers li√©s aux condamnations ayant fait l’objet d’une r√©habilitation ou aux condamnations injustifi√©es. Il est important pour les Canadiennes et Canadiens r√©habilit√©s ou condamn√©s injustement que de tels renseignements ne soient pas communiqu√©s de fa√ßon inopportune, car cela pourrait nuire √† leurs chances d’obtenir un emploi, de voyager, d’√©tudier ou de faire du b√©n√©volat comme tout autre Canadienne ou Canadien.

67. Aucun examen actif des comptes d’utilisateurs du SIRP n’est effectu√©. La politique de la GRC sur le SIRP stipule que le droit d’acc√®s d’un utilisateur doit √™tre r√©voqu√© si celui‑ci n’en a plus besoin pour ex√©cuter ses t√Ęches professionnelles ou apr√®s 14¬†mois d’inactivit√©, mais nous avons vu que plus de 1¬†000¬†utilisateurs ayant un compte actif n’avaient pas consult√© le SIRP depuis 14¬†mois ou plus. Nous avons aussi constat√© que le processus d’examen de l’activit√© des utilisateurs du SIRP est lourd, ce qui complique les enqu√™tes sur les mauvais usages du syst√®me.

68. La GRC n’a pas √©t√© en mesure de d√©montrer qu’elle examine syst√©matiquement les utilisateurs du SIRP pour s’assurer que les renseignements personnels sont utilis√©s en conformit√© avec les politiques en vigueur.

69. La GRC g√®re ad√©quatement les renseignements personnels du CIPC, mais elle devrait √©tablir un √©ch√©ancier clair concernant l’√©tablissement de PE, comprenant des clauses sur la protection des renseignements personnels, avec tous les services de police.

70. La GRC doit am√©liorer la gestion des renseignements personnels enregistr√©s dans la base de donn√©es du SIRP. Elle doit supprimer des donn√©es qui se trouvent dans le syst√®me, mettre en œuvre des processus pour supprimer l’acc√®s aux dossiers concernant les infractions ayant fait l’objet d’une r√©habilitation et les condamnations injustifi√©es, examiner r√©guli√®rement l’√©tat des comptes d’utilisateur du SIRP et d√©sactiver l’acc√®s lorsqu’il n’est plus n√©cessaire pour assumer des t√Ęches professionnelles, activer l’outil d’examen des journaux de v√©rification du SIRP et adopter un processus d’examen r√©gulier fournissant l’assurance que tous les utilisateurs respectent les politiques et les proc√©dures r√©gissant l’utilisation des renseignements personnels enregistr√©s dans le SIRP.

Haut de la pageTable des matièresÀ propos de la vérification

Pouvoir

L’article¬†37 de la Loi¬†sur la protection des renseignements personnels donne conf√®re √† la commissaire √† la protection de la vie priv√©e le pouvoir d’examiner les pratiques de traitement des renseignements personnels utilis√©es par les institutions f√©d√©rales.

Objectif

La vérification visait à déterminer si la GRC gère adéquatement les renseignements personnels contenus dans les bases de données du CIPC et du SIRP.

Critères

Les crit√®res de la v√©rification d√©coulent de la Loi¬†sur la protection des renseignements personnels.¬†Les m√©canismes de contr√īle soutenant la technologie de l’information¬†(TI) ont √©t√© √©valu√©s √† l’aide de crit√®res tir√©s des Control Objectives for Information and Related Technology¬†(COBIT), une norme de l’industrie qui √©tablit les pratiques exemplaires en mati√®re de gestion de la TI, ainsi que des politiques et des normes pertinentes du gouvernement du Canada.

Nous nous attendions à ce que la GRC :

  • ait √©tabli des politiques et des proc√©dures pour r√©gir l’acc√®s au CIPC et son utilisation;
  • surveille l’utilisation du CIPC pour garantir le respect des conditions d’utilisation;
  • ait √©tabli des politiques et des proc√©dures pour supprimer du SIRP les renseignements personnels qui ne sont plus n√©cessaires;
  • g√®re ad√©quatement l’acc√®s au SIRP;
  • surveille l’utilisation du SIRP pour garantir le respect de ses politiques et de ses proc√©dures visant √† prot√©ger les renseignements personnels.
Portée et démarche

Nous avons examin√© les politiques, les syst√®mes, les mesures de protection et les contr√īles administratifs relatifs au CIPC et au SIRP que la GRC emploie pour r√©gir l’utilisation, la communication, la conservation et l’√©limination des renseignements personnels en vertu de la Loi¬†sur la protection des renseignements personnels.

Les √©l√©ments probants ont √©t√© obtenus en examinant divers documents sur le d√©roulement des op√©rations, les proc√©dures de fonctionnement normalis√©es, les ententes, les calendriers de conservation des documents, les documents relatifs aux programmes, les rapports de v√©rification ainsi que sur les dossiers et contr√īles d’application. Nous avons √©galement pass√© en revue les contr√īles d’acc√®s des utilisateurs et l’architecture de syst√®me du CIPC et du SIRP en plus de demander des rencontres, des d√©monstrations et des visites guid√©es pour appuyer notre travail de v√©rification.

Nous n’avons pas examin√© comment les renseignements contenus dans ces bases de donn√©es influaient sur les d√©cisions prises dans le cadre des activit√©s quotidiennes de la GRC. De plus, la v√©rification n’a port√© que sur les mesures de s√©curit√© prises par la GRC et non sur celles d’autres utilisateurs du CIPC et du SIRP.

Le travail de vérification était pratiquement terminé le 31 mars 2011.

Normes

La v√©rification a √©t√© effectu√©e en conformit√© avec les pratiques, les politiques et le mandat l√©gislatif du Commissariat √† la protection de la vie priv√©e du Canada et respectait l’esprit des normes de v√©rification recommand√©es par l’Institut canadien des comptables agr√©√©s.

√Čquipe de v√©rification

Directeur général : Steven Morgan

Sylvie Gallo Daccash
Anne Overton
Bill Wilson

Haut de la pageTable des matièresAppendice : Liste de recommandations

  1. Recommandation

    Le CIPC devrait √©tablir un √©ch√©ancier clair concernant l’√©tablissement de PE, comprenant des clauses sur la protection des renseignements personnels, avec tous les services de police.

    Réponse de la GRC :

    Comme l’a demand√© le sous‑commissaire, Soutien aux services de police, en novembre¬†2010, le CIPC n√©gocie activement avec les derniers services de police¬†(25¬†%) qui n’ont pas encore sign√© de PE. Comme pr√©vu, le mod√®le de PE ne s’applique pas n√©cessairement dans tous les cas et les diff√©rences font l’objet de discussions pour que des PE soient conclus d’ici le 31¬†mars¬†2012.
  2. Recommandation

    La GRC devrait √©liminer les donn√©es du SIRP qui doivent l’√™tre de fa√ßon √† respecter la Loi¬†sur la protection des renseignements personnels.

    Réponse de la GRC :

    La GRC est d’accord et prendra imm√©diatement des mesures pour corriger la situation.
  3. Recommandation

    Afin d’att√©nuer le risque d’une communication illicite ou inappropri√©e, la GRC devrait instaurer des processus pour supprimer, selon les besoins, l’acc√®s aux dossiers li√©s aux infractions ayant fait l’objet d’une r√©habilitation ou aux condamnations injustifi√©es qui se trouvent dans la base de donn√©es du SIRP.

    Réponse de la GRC :

    La GRC adoptera imm√©diatement un processus et la technologie n√©cessaire pour isoler les renseignements li√©s aux personnes r√©habilit√©es. En outre, la GRC modifiera les m√©thodes de fonctionnement normalis√©es du SIRP sur l’isolement d’information autre que les r√©habilitations en y ajoutant des directives sur le traitement des condamnations injustifi√©es.
  4. Recommandation

    La GRC devrait examiner r√©guli√®rement l’√©tat des comptes d’utilisateur du SIRP et retirer l’acc√®s s’il n’est plus n√©cessaire pour effectuer les t√Ęches professionnelles.

    Réponse de la GRC :

    La GRC prendra imm√©diatement des mesures pour corriger la situation et examinera ses pratiques actuelles de formation des employ√©s qui examinent les comptes d’utilisateur du SIRP.
  5. Recommandation

    Pour aider √† mener des enqu√™tes sur la consultation non autoris√©e de renseignements personnels enregistr√©s dans le SIRP, la GRC devrait activer l’outil d’examen des journaux de v√©rification.

    Réponse de la GRC :

    La GRC activera imm√©diatement l’outil de consultation des journaux de v√©rification, qui est une m√©thode efficace pour r√©unir et examiner les entr√©es de ces journaux.
  6. Recommandation

    La GRC devrait adopter un processus d’examen r√©gulier fournissant l’assurance que tous les utilisateurs respectent les politiques et les proc√©dures r√©gissant l’utilisation des renseignements personnels enregistr√©s dans le SIRP.

    Réponse de la GRC :

    La GRC examinera imm√©diatement son processus de v√©rification actuel et apportera des modifications au besoin de fa√ßon √† ce que les utilisateurs du SIRP, tant √† l’interne qu’√† l’externe, fassent l’objet d’examens.