Rapport annuel au parlement 2021-2022 de la GRC sur l'administration de la Loi sur la protection des renseignements personnels

Sur cette page

• Introduction
• Structure organisationnelle
  • Gendarmerie Royale du Canada (GRC)
  • Sous-direction de l'accès à l'information et de la protection des renseignements personnels (AIPRP)
• Ordonnance de délégation de pouvoirs
• Rendement
  • Conformité
  • Demandes reçues et fermées
  • Délai de traitement et prorogation
  • Issue des demandes réglées
  • Consultations reçues d'autres institutions
  • Demandes actives en suspens des périodes de référence antérieures
  • Plaintes actives en suspens des périodes de référence antérieures
• Formation et sensibilisation
• Politiques, lignes directrices, procédures et initiatives
  • Modernisation de l'AIPRP
• Résumé des principaux enjeux soulevés et mesures prises à la suite de plaintes ou d'audits
  • Plaintes et enquêtes
  • Poursuites en justice
• Surveillance de la conformité
• Atteintes substantielles à la vie privée
• Évaluations des facteurs relatifs à la vie privée
• Communication de renseignements pour des raisons d'intérêt public
• Annexe A – Ordonnance de délégation de pouvoirs
• Annexe B – Rapport statistique sur la Loi sur la protection des renseignements personnels
• Annexe C – Rapport statistique supplémentaire sur la Loi sur la protection des renseignements personnels

Introduction

La Gendarmerie royale du Canada (GRC) s'engage à faire preuve d'ouverture, de transparence et de responsabilité envers les services qu'elle fournit tout en protégeant les renseignements personnels qu'elle recueille. En ce sens, nous prenons au sérieux les responsabilités qui nous incombent en vertu de la Loi sur l'accès à l'information (LAI) et de la Loi sur la protection des renseignements personnels (LPRP), et nous continuerons de nous efforcer de répondre aux attentes des Canadiens, tout en protégeant le public et en veillant à l'intégrité des enquêtes que nous menons en son nom. La LPRP donne aux particuliers le droit d'accéder aux renseignements les concernant détenus par le gouvernement, sous réserve d'exceptions précises et limitées. Elle protège aussi les renseignements personnels des particuliers en empêchant d'autres personnes d'y avoir accès et leur donne un contrôle important sur la collecte, la conservation, l'utilisation et la communication de ces renseignements. Pour une organisation qui, de par son mandat principal, recueille et protège quotidiennement des renseignements personnels, le respect de la LPRP est de la plus haute importance pour la GRC.

Comme l'indiquait le rapport annuel de l'an dernier, la Sous-direction de l'AIPRP de la GRC a dû relever de nombreux défis au cours des dix dernières années. La GRC reconnaît et accepte qu'elle doit améliorer son programme d'AIPRP afin de respecter ses obligations. C'est pourquoi la GRC s'est engagée dans un ambitieux effort de modernisation, dirigé par une stratégie générale intitulée Accès accordé : Rétablir la confiance dans le Programme d'accès à l'information et de protection des renseignements personnels de la GRC et d'un plan d'action connexe.

Le présent rapport annuel décrit la première année de la mise en œuvre d'une stratégie quinquennale, et la GRC est heureuse de pouvoir faire état de certaines améliorations importantes par rapport au rapport annuel de l'an dernier. Nous encourageons tous les Canadiens à se tenir informés de l'effort de modernisation en cours et à suivre nos progrès sur notre site Web public à https://www.rcmp-grc.gc.ca/fr/strategie-modernisation-du-programme-dacces-a-linformation-et-protection-des-renseignements.

Bien que la GRC ait fait d'importants progrès au cours de l'année écoulée, la présente période de référence n'a pas été exempte de difficultés. L'incidence continue de la pandémie de COVID‑19 ainsi que les demandes opérationnelles importantes imposées à l'organisation au cours de la période de référence ont continué d'avoir des répercussions négatives sur la conformité de la GRC à la Loi. Néanmoins, la Sous-direction de l'AIPRP de la GRC a continué de s'adapter à ces défis et d'examiner des façons nouvelles et novatrices de travailler afin de répondre aux attentes des Canadiens.

La GRC est heureuse de présenter dans ce rapport annuel les détails de la manière dont elle s'est acquittée de ses responsabilités à l'égard de la LAI au cours de la période de référence. Le présent rapport est établi et déposé au Parlement conformément au paragraphe 72(1) de la Loi sur la protection des renseignements personnels.

Structure organisationnelle

Gendarmerie Royale du Canada (GRC)

Depuis près de 150 ans, la GRC est le service de police national du Canada. En tant que corps policier fédéral, provincial, territorial et municipal, la GRC est unique au monde. Elle fournit des services de police fédérale à tous les Canadiens et des services de police contractuels aux trois territoires, à huit provinces et à plus de 180 municipalités, notamment plus de 750 détachements dans les collectivités canadiennes, 600 dans les collectivités autochtones et trois dans des aéroports internationaux.

Le mandat de la GRC comporte plusieurs volets, notamment prévenir la criminalité et mener des enquêtes, maintenir la paix et l'ordre, faire respecter les lois, contribuer à la sécurité nationale, veiller à la sécurité des représentants de l'État, des dignitaires en visite et des membres de missions étrangères, de même que fournir des services essentiels de soutien opérationnel à d'autres organismes de police et d'application de la loi au Canada et à l'étranger.

L'organisation compte seize divisions (dix provinces, trois territoires, la Division nationale, la Division Dépôt et la Direction générale à Ottawa), qui ont toutes à leur tête un commandant divisionnaire ou un directeur général. La Direction générale est organisée selon les neuf secteurs d'activité suivants : Services de police fédérale, Services de police contractuels et autochtones, Services de police spécialisés, Gestion générale et contrôle, Ressources humaines, Vérification interne et évaluation, Services juridiques, Secteur de la responsabilité professionnelle ainsi que Politiques stratégiques et relations extérieures.

Sous-direction de l'accès à l'information et de la protection des renseignements personnels (AIPRP)

La GRC a créé la Sous-direction de l'AIPRP en 1983, comme point de contact central pour les questions découlant de la LAI et de la LPRP. La Sous-direction de l'AIPRP relève de la Direction des politiques stratégiques et des relations extérieures de la GRC.

D'ordinaire, le directeur de la Sous-direction de l'AIPRP agit au nom du chef de l'institution en tant que coordonnateur ministériel de l'accès à l'information et de la protection des renseignements personnels pour la GRC. Il veille à ce que la GRC se conforme à l'esprit et à l'intention de la LAI et de la LPRP ainsi qu'à l'ensemble des règlements et des lignes directrices qui en découlent. Toutefois, au cours de la présente période de référence, nous avons aussi créé le nouveau poste de directeur général de l'AIPRP, dont la tâche principale consiste à diriger le vaste effort de modernisation.

Sur le plan fonctionnel, la Sous-direction de l'AIPRP se divise en deux équipes.

Équipe des politiques

Cette équipe surveille et conçoit les politiques, les procédures et les lignes directrices internes relativement à la collecte, à la conservation, à l'élimination, à l'utilisation et à la communication des renseignements personnels et non personnels traités par les applications de la GRC. Les professionnels dévoués formulent des conseils stratégiques à la GRC et apportent une expertise sur les questions liées à la protection des renseignements personnels, notamment en appuyant la rédaction et la conception d'évaluations des facteurs relatifs à la vie privée (EFVP). L'équipe apporte également un soutien aux analystes de l'AIPRP et au coordonnateur de l'AIPRP de la GRC, prodigue des conseils aux secteurs d'activité et aux divisions de la GRC partout au Canada en ce qui concerne les articles 4 à 8 de la LPRP.De plus, l'équipe examine et crée des politiques internes qui tiennent compte des politiques et des directives du Secrétariat du Conseil du Trésor (SCT) ainsi que des attentes du Commissariat à la protection de la vie privée (CPVP) afin de respecter ses obligations relatives à InfoSource : Sources de renseignements du gouvernement fédéral et sur les fonctionnaires fédéraux et aux EFVP au sein de la GRC.

Équipe chargée de la divulgation (Opérations)

Cette équipe traite les demandes officielles en vertu de la LAI et de la LPRP. À cette fin, elle doit travailler avec les demandeurs pour discuter de la portée et préciser leurs demandes, ouvrir des demandes, attribuer des tâches ainsi que recevoir et importer des dossiers à destination et en provenance des agents de liaison des différents secteurs d'activité et des différentes divisions de la GRC dans tout le pays. L'équipe examine également les dossiers et fournit les pages communiquées aux demandeurs, traite les demandes informelles d'accès à l'information, examine les plaintes reçues par le biais du Commissariat à l'information et du CPVP et y répond.

Il convient de mentionner que des efforts importants ont été entrepris au cours de l'exercice 2021-2022 pour restructurer et moderniser la structure hiérarchique de la Sous-direction. Bien que ces changements n'aient pas été mis en œuvre au cours de la période de référence, ils seront fermement en place l'année prochaine. La section 6 du présent rapport donne un aperçu de ces efforts.

Lors de l'attribution des demandes, la Sous-direction travaille en étroite collaboration avec les agents de liaison et les détenteurs de dossiers, appelés bureaux de première responsabilité. Les responsabilités assumées par les agents de liaison et les bureaux de première responsabilité sont les suivantes, entre autres :

Agents de liaison

Ils sont chargés de transmettre les demandes d'AIPRP au personnel approprié (bureau de première responsabilité) de leur secteur d'activité ou de leur division. Les autres responsabilités comprennent notamment faire le suivi des demandes pour s'assurer que les bureaux de première responsabilité envoient des documents conformes à la Sous-direction de l'AIPRP, veiller à ce que les documents soient envoyés à temps ainsi que consigner les processus internes de la GRC en matière d'AIPRP et les diffuser aux personnes qui participent au traitement des demandes.

Bureaux de première responsabilité

Ils sont les détenteurs des dossiers et doivent, entre autres responsabilités, fournir des copies électroniques des documents visés par les demandes, examiner les documents pour vérifier s'il y a duplication, s'assurer que l'information entre dans le cadre de la demande, aviser la Sous-direction de l'AIPRP si les documents sont volumineux et aviser la Sous-direction ou l'agent de liaison si une prorogation est nécessaire.

Ordonnance de délégation de pouvoirs

Le coordonnateur ministériel de l'accès à l'information et de la protection des renseignements personnels a pleine autorité pour appliquer la législation. Une copie de l'ordonnance de délégation signée figure à l'annexe A. Il convient de noter qu'en raison de la réorganisation approuvée de la Sous-direction (voir la section 6), cette ordonnance de délégation est mise à jour pour refléter la nouvelle structure opérationnelle.

Rendement

La présente section donne un aperçu du rendement de la GRC en ce qui concerne les renseignements demandés au titre de la LPRP pour l'exercice de référence 2021-2022. Le rapport statistique complet se trouve à 'annexe B, et le rapport statistique supplémentaire se trouve à l'annexe C.

Conformité

La Sous-direction de l'AIPRP a observé une hausse de la conformité quant au nombre de demandes fermées dans les délais prescrits par la LPRP. Au cours de l'exercice 2021-2022, la conformité est passée à 46,1 %, contre 32,8 % au cours de l'exercice 2020-2021. Cette augmentation repose en partie sur les modifications apportées aux processus au sein de la Sous-direction, qui ont permis de réaliser des gains d'efficacité. La Sous-direction de l'AIPRP a également fait appel à des experts-conseils pour traiter des dossiers afin d'observer la loi.

Demandes reçues et fermées

Comme l'indique le rapport statistique de l'annexe B, la GRC a reçu 4 290 nouvelles demandes en vertu de la LPRP en 2021-2022. De plus, il y avait 3 253 demandes en suspens depuis la période de référence précédente, pour un total de 7 543 demandes. De ce nombre, 4 081 demandes ont été réglées et 3 462 ont été reportées à l'exercice 2022-2023.

En règle générale, les demandes relatives à la protection des renseignements personnels couvrent un éventail de sujets, notamment des renseignements sur des dossiers opérationnels de la police, comme les accidents de la route et les dossiers d'emploi.

Comme il est montré ci-dessous, il y a eu une augmentation du nombre de demandes reçues par rapport à la période de référence précédente. Le nombre de demandes reçues a augmenté de moins de 2 % par rapport à l'exercice précédent et a augmenté de 17 % par rapport à l'exercice 2019-2020.

Le graphique montre également que le nombre de demandes fermées au cours de la présente période de référence a augmenté de 13 % par rapport à l'exercice précédent, et a été inférieur de 10 % à l'exercice 2019-2020.

Délai de traitement et prorogation

La Sous-direction de l'AIPRP a réglé 1 153 (28 %) de ses demandes en 30 jours ou moins. Au cours de la période de référence, 733 (18 %) des demandes ont été réglées dans un délai de 31 à 60 jours, 326 (8 %) dans un délai de 61 à 120 jours et 1 869 (46 %) dans un délai supérieur à 120 jours.

Parmi les demandes qui ont été fermées, des prorogations de 16 à 30 jours ont été demandées pour 3 275 dossiers. On peut l'expliquer, en partie, par le nombre de demandes comportant un grand nombre de pages, mais plus particulièrement par les défis continus auxquels le programme d'AIPRP est confronté et qu'a exaspérés la COVID-19.

Issue des demandes réglées

Les 4 081 demandes réglées au cours de l'exercice 2021-2022 se ventilent comme suit :

• 2 322 (56,9 %) demandes ont été communiquées en partie;
• 974 (23,9 %) demandes ont été abandonnées par les demandeurs;
• 347 (8,5 %) demandes n'ont pas permis de trouver de documents;
• 259 (6,3 %) demandes ont été entièrement communiquées;
• 171 (4,2 %) demandes visaient des documents faisant l'objet d'exceptions;
• 8 (0,2 %) demandes n'ont été ni confirmées ni infirmées;
• aucune (0 %) demande n'a fait l'objet d'une exclusion totale.

Consultations reçues d'autres institutions

Le nombre de consultations reçues et réglées au cours des trois dernières périodes de référence a considérablement diminué, ce qui pourrait être le résultat des restrictions liées à la pandémie de COVID-19. Au cours de la période actuelle, la GRC a mené à bien 86 consultations, pour un total de 3 077 pages traitées. Sur les 86 consultations effectuées, 56 ont été reçues d'autres institutions fédérales, et 30 provenaient d'autres organismes.

Demandes actives en suspens des périodes de référence antérieures

À la fin de l'exercice 2021-2022, 3 462 demandes étaient en suspens. Parmi ces demandes, 22 % ont été reportées dans les délais prévus par la loi et 78 % ont été reportées au-delà des délais prévus par la loi. Les demandes reportées ont été reçues au cours des exercices suivants :

• 2 567 (74,2 %) reçues en 2021-2022;
• 500 (14,5 %) reçues en 2020-2021;
• 219 (6,3 %) reçues en 2019-2020;
• 145 (4,2 %) reçues en 2018-2019;
• 15 (0,4 %) reçues en 2017-2018;
• 8 (0,2 %) reçues en 2016-2017; et
• 8 (0,2 %) reçues en 2015-2016 ou avant.

Plaintes actives en suspens des périodes de référence antérieures

À la fin de la période de référence, 64 plaintes étaient en suspens. Les plaintes en suspens ont été reçues au cours des exercices suivants :

• 42 (65 %) reçues en 2021-2022;
• 10 (16 %) reçues en 2020-2021;
• 5 (8 %) reçues en 2019-2020;
• 3 (5 %) reçues en 2018-2019;
• 0 (0 %) reçue en 2017-2018;
• 4 (6 %) reçues en 2016-2017; et
• 0 (0 %) reçue en 2015-2016 ou avant.

Formation et sensibilisation

L'apprentissage continu est une priorité pour la GRC, et la Sous-direction de l'AIPRP ne fait pas exception. La Sous-direction de l'AIPRP encourage ses employés à suivre des cours pertinents et à profiter d'autres possibilités d'apprentissage afin d'accroître leurs connaissances et de perfectionner leurs compétences. Pour l'exercice de référence 2021-2022, la Sous-direction de l'AIPRP a tenu des séances régulières d'échange d'information au cours desquelles les employés ont discuté de dossiers et mis en commun des pratiques exemplaires. Des séances d'information informelles ont également eu lieu pour informer le personnel de la Sous-direction de la mise en œuvre de nouvelles procédures pour répondre à la pandémie de COVID-19. Comme de nouveaux outils technologiques ont été introduits pour soutenir la collaboration à distance pendant la pandémie, la GRC a pu tirer parti de ces outils (en particulier la vidéoconférence) pour offrir des séances de formation aux employés. Une formation et une orientation à l'interne ont également été offertes aux nouveaux employés de l'AIPRP et une formation virtuelle a été offerte aux agents de liaison de l'AIPRP dans plusieurs divisions et secteurs d'activité au pays, notamment les Services canadiens d'identification criminelle en temps réel, la Police de protection, la Division H (Nouvelle-Écosse) et la Division J (Nouveau-Brunswick).

Au cours de la période de référence, la Sous-direction de l'AIPRP, en collaboration avec le Groupe de l'apprentissage et du perfectionnement de la GRC, a produit le cours en ligne Cours de base sur l'accès à l'information et la protection des renseignements personnels offert à toutes les catégories d'employés de la GRC. En plus d'accroître leurs connaissances de la LAI et de la LPRP, ce cours permet aux employés de mieux comprendre leurs responsabilités lorsqu'ils répondent à des demandes de renseignements et les pratiques exemplaires en matière de gestion des renseignements personnels. Bien qu'il n'ait été offert que pendant une courte période au cours de la période de référence, le cours a été suivi par plus de 1 800 employés, ce qui représente environ 6 % de l'effectif.

Politiques, lignes directrices, procédures et initiatives

Modernisation de l'AIPRP

En novembre 2020, le commissaire à l'information du Canada a publié les résultats d'une enquête systémique sur le programme d'AIPRP de la GRC, intitulée Question d'accès : Le besoin de leadership. Le rapport était très critique à l'égard du programme d'AIPRP de la GRC et contenait quinze (15) recommandations d'amélioration. Par la suite, le ministre de la Sécurité publique a ordonné à la GRC de donner suite aux recommandations du Commissariat à l'information, de présenter une stratégie décrivant la voie à suivre et de la concevoir en consultation avec le Secrétariat du Conseil du Trésor (SCT). En réponse, la GRC a conçu une stratégie générale intitulée Accès accordé : Rétablir la confiance dans le Programme d'accès à l'information et de protection des renseignements personnels de la GRC, accompagnée d'un plan d'action concret, décrivant les initiatives visant à moderniser le programme.

Lors de la conception de la stratégie, la GRC a reconnu qu'elle devait non seulement disposer d'une solide capacité de répondre aux Canadiens qui demandent un accès à des renseignements qu'elle détient, mais aussi être en mesure de prodiguer des conseils et de fournir une orientation stratégique sur les questions de protection des renseignements personnels afin de s'assurer que la conception des programmes et des politiques se fait en tenant pleinement compte des diverses répercussions possibles sur la vie privée. C'est pour cette raison que la protection des renseignements personnels est également un point central de la stratégie de modernisation de l'AIPRP de la GRC. La GRC s'est engagée à mettre en œuvre cette stratégie au cours des cinq prochaines années afin d'augmenter les taux de conformité et d'améliorer la transparence publique. La GRC a publié la stratégie, et fournit des mises à jour trimestrielles, sur son site Web externe. Nous encourageons tous les Canadiens à visiter le site https://www.rcmp-grc.gc.ca/fr/strategie-modernisation-du-programme-dacces-a-linformation-et-protection-des-renseignements et à suivre nos progrès.

Au cours de la période de référence du présent rapport annuel, la GRC a fait des progrès importants dans la mise en œuvre de la stratégie. Bien que l'on puisse trouver de plus amples renseignements sur notre site Web externe, les principales initiatives sont notamment les suivantes :

• Restructuration et réorganisation de la Sous-direction de l'AIPRP : La stratégie de modernisation de la GRC reconnaît que le programme d'AIPRP de la GRC n'a pas été doté des ressources suffisantes pour accorder l'attention nécessaire à la protection des renseignements personnels à l'ère numérique. À ce titre, un élément essentiel consistait à créer un organigramme qui donne à la GRC la capacité nécessaire pour soutenir une analyse proactive et réfléchie des questions de protection des renseignements personnels. En conséquence, la GRC a déterminé qu'un nouveau volet de protection des renseignements personnels doté en personnel affecté à l'examen des demandes liées à la protection des renseignements personnels ainsi qu'à la résolution des plaintes et des atteintes à la vie privée, assorti d'une solide capacité en matière de politique de protection des renseignements personnels, était nécessaire au succès de l'organisation. C'est pourquoi la GRC a conçu et commencé à mettre en œuvre une réorganisation de la Sous-direction de l'AIPRP. La nouvelle structure divise la Sous-direction en trois volets : Information (responsable du respect des obligations de la GRC prévues par la LAI), Protection des renseignements personnels (responsable du respect des obligations de la GRC prévues par la LPRP) et Soutien opérationnel (responsable de la prestation de services de soutien essentiels à l'ensemble de la Sous-direction, comme l'accueil, l'assurance de la qualité, la formation et la politique opérationnelle). Chaque volet est dirigé par un directeur spécialisé, et la Sous-direction relève désormais d'un directeur général. Ces changements entraînent également l'arrivée de nouveaux employés au sein de la Sous-direction, dont la taille va presque doubler au cours des cinq prochaines années. Bien que ces changements aient été autorisés au cours de la période de référence et que la GRC ait pu accueillir le nouveau directeur de la protection des renseignements personnels, leur mise en œuvre concrète n'a pas commencé avant l'exercice 2022-2023. La GRC a hâte de fournir de plus amples renseignements sur ces travaux dans son prochain rapport annuel.
• Nouvelles méthodes de travail : La GRC a engagé PricewaterhouseCooper (PwC) pour l'aider dans ses efforts de modernisation. Plus précisément, PwC a effectué un examen diagnostique du programme d'AIPRP, qui comprenait une approche de gestion allégée visant à optimiser les processus d'AIPRP pour le programme. Après l'examen, il a déployé le régime de formation PERFORM, conçu pour soutenir les changements de culture et de processus opérationnels. Plus précisément, cette formation comprenait l'introduction de nouvelles compétences et de nouveaux outils qui ont été appliqués au travail quotidien. Après la conclusion de la formation en décembre 2021, les enquêtes menées auprès du personnel ont révélé une augmentation des attentes des employés en matière de gestion efficace de la charge de travail, de motivation des employés et de communication ouverte sur le bien-être. Pour garantir la poursuite des nouveaux processus opérationnels, des plans de durabilité ont été créés pour la Sous-direction et font l'objet d'un suivi mensuel et d'une mise à jour trimestrielle.
• Accent sur la formation : Dans le cadre des efforts plus vastes de modernisation, la Sous-direction de l'AIPRP de la GRC a fait une promotion dynamique du nouveau cours de formation auprès du personnel, ce qui a directement entraîné une hausse du taux d'inscription. D'autres travaux sont en cours pour concevoir de nouvelles formations et de nouveaux cours pour le personnel de la Sous-direction de l'AIPRP et l'ensemble de l'organisation qui seront en place pour la prochaine période de référence. En fait, l'élargissement de la prestation de la formation constitue un élément essentiel de la stratégie des ressources humaines de la Sous-direction en vue de la modernisation de l'AIPRP, de la planification de la relève et du maintien en poste des employés. De plus, la GRC examine la possibilité de créer de nouveaux modules de formation axés sur la protection des renseignements personnels, y compris des directives améliorées sur la tenue des EFVP.
• Mise en commun des pratiques exemplaires : La GRC n'est pas la seule organisation à moderniser ses programmes d'AIPRP. Des changements sont en cours dans l'ensemble du gouvernement du Canada. Afin de s'assurer que la GRC profite des leçons retenues et des travaux en cours chez ses partenaires, et que ces derniers soient au courant des travaux en cours à la GRC, un groupe de travail interministériel a été créé pour mettre en commun les pratiques exemplaires et déterminer les domaines de collaboration.

La Sous-direction de l'AIPRP a poursuivi l'examen de ses processus afin d'en améliorer l'efficacité opérationnelle. Au cours de la période de référence 2021-2022, la Sous-direction de l'AIPRP a accompli les tâches suivantes :

• examen des régimes de travail des employés en raison des restrictions liées à la pandémie COVID‑19 et établissement de nouveaux accords de télétravail ainsi que d'un protocole de réintégration afin d'offrir plus de souplesse à ses employés;
• mise à jour des procédures opérationnelles réglementaires de l'Équipe chargée de la divulgation et de l'accueil, ce qui faisait partie des efforts de la Sous-direction de l'AIPRP pour officialiser ses processus internes;
• amélioration des processus internes pour faciliter le transfert des dossiers au sein de la GRC, y compris la création de lecteurs partagés nationaux pour les renseignements classifiés;
• modification des lignes directrices pour traiter les dossiers en cours et les dossiers en retard, ce qui a permis d'améliorer l'efficacité du traitement;
• collaboration avec les secteurs d'activité et les agents de liaison divisionnaires pour concevoir des lignes directrices, des normes et des communiqués de sensibilisation afin de faciliter davantage la modernisation de l'AIPRP de la GRC;
• direction continue du groupe de travail interministériel chargé de dresser des plans de continuité des activités pour les programmes d'AIPRP, ce qui a permis un meilleur échange de l'information entre les ministères participants.

De plus, le Groupe des politiques de l'AIPRP a accompli les tâches suivantes :

• analyse des lacunes des diverses politiques opérationnelles et organisationnelles liées à l'AIPRP, et création d'un plan de travail pour les mettre à jour au cours des cinq prochaines années;
• mise à jour des procédures opérationnelles réglementaires du Groupe concernant les communications en vertu du paragraphe 8(2) de la Loi sur la protection des renseignements personnels;
• participation à des réunions trimestrielles avec la Direction des services-conseils au gouvernement du CPVP, ce qui a permis d'améliorer la communication concernant les initiatives et les consultations en cours;
• publication de nouvelles directives sur les atteintes à la vie privée et les évaluations des facteurs relatifs à la vie privée sur Infoweb afin d'accroître la sensibilisation et d'améliorer le signalement des atteintes à la protection des renseignements personnels par la GRC, soutenue par une formation directe sur les atteintes à la protection des renseignements personnels à plusieurs secteurs d'activité du ministère;
• participation aux réunions hebdomadaires de base du Programme national d'intégration des technologies afin d'établir des processus et d'aborder les engagements de la GRC liés aux recommandations du CPVP sur l'enquête Clearview AI;
• participation au groupe de travail sur la collecte de données fondées sur la race;
• participation active à l'acquisition et au déploiement de caméras corporelles au sein de la GRC afin de s'assurer que les facteurs relatifs à la vie privée sont intégrés dès le départ;
• rétablissement du Groupe de travail sur les fichiers inconsultables.

La GRC n'a ni demandé ni reçu d'autorisation pour une nouvelle collecte ou une nouvelle utilisation systématique des numéros d'assurance sociale au cours de la période de référence.

Résumé des principaux enjeux soulevés et mesures prises à la suite de plaintes ou d'audits

Plaintes et enquêtes

Au cours de la période de référence, la GRC a continué de travailler en collaboration avec le CPVP pour rationaliser les processus de traitement des dossiers de plaintes. À la suite de la publication de l'enquête systémique du Commissariat en novembre 2020 sur la GRC et ses pratiques en matière d'AIPRP, des mesures concrètes ont été prises pour examiner et mettre à jour les pratiques internes afin de s'assurer que la GRC respecte ses obligations prévues aux deux lois.

Dans le cadre de la présente stratégie de modernisation, une équipe d'analystes spécialisés dans les plaintes a été formée. Composée de six employés, dont des experts-conseils, l'équipe des plaintes de la Sous-direction de l'AIPRP a continué de permettre à la GRC de répondre plus efficacement aux plaintes reçues par l'intermédiaire du Commissariat à l'information et du Commissariat à la protection de la vie privée. Cette nouvelle équipe a non seulement donné des réponses solides aux plaintes, mais a également travaillé de façon proactive pour déceler et régler les problèmes avant le dépôt des plaintes.

La section 8 du rapport statistique, qui se trouve à l'annexe B, fait état des données relatives aux plaintes reçues et réglées. Plus précisément, pour la période de référence 2021-2022, la GRC a reçu et fourni les éléments suivants en vertu de la LPRP :

Article 31

La GRC a reçu 172 avis en vertu de l'article 31, ce qui représente 4,6 % de toutes les demandes fermées au cours de la période de référence. La majorité des plaintes reçues concernaient des retards et des présomptions de refus, ce qui peut être attribué à l'arriéré actuel de la GRC et à la nature complexe ou volumineuse des demandes. En vertu de cet article, le Commissariat à la protection de la vie privée avise officiellement l'institution de son intention d'enquêter sur une plainte reçue concernant une demande.

Article 33

La GRC a reçu 11 avis en vertu de l'article 33. En vertu de cet article, le Commissariat à la protection de la vie privée demande des observations du plaignant et de l'institution dans le cadre d'une enquête sur une plainte en cours.

Article 35

La GRC a reçu 90 avis en vertu de l'article 35. En vertu de cet article, le CPVP a présenté les conclusions de son enquête, qui peuvent comprendre des recommandations, sur les plaintes fondées.

Poursuites en justice

Quatre procédures judiciaires ont été engagées concernant des demandes liées à la protection des renseignements personnels traitées pendant l'exercice en cours, et trois ont été arrêtées pendant la période de référence et abandonnées.

Surveillance de la conformité

La Sous-direction de l'AIPRP surveille la conformité au moyen de rapports statistiques hebdomadaires et mensuels, qui font état des taux de conformité, du nombre de dossiers traités à temps et de ceux qui sont retardés, ainsi que des plaintes. Des tableaux de bord du rendement ont également été créés afin de mieux cerner les tendances et d'aider la Sous-direction à réaliser stratégiquement des gains d'efficacité. L'équipe de gestion de la Sous-direction examine les rapports hebdomadaires afin de gérer la charge de travail et de déterminer les enjeux à venir, pour lesquels les processus pourraient être améliorés. Les rapports sont fournis au dirigeant principal des Politiques stratégiques et des Relations extérieures (DPPSRE) de la GRC, au dirigeant principal de l'Administration (DPA) et au commissaire dans le but d'améliorer la responsabilisation.

La Sous-direction de l'AIPRP s'efforce actuellement de renforcer sa fonction de communication des données en adoptant une nouvelle technologie et de nouveaux processus. Cette nouvelle technologie permettra à la Sous direction d'être plus stratégique et transparente, en saisissant automatiquement les données pertinentes pour l'aider dans sa planification et ses rapports publics, ainsi que pour cerner les domaines où des gains d'efficacité peuvent être réalisée.

Atteintes substantielles à la vie privée

En tant que force de police nationale du Canada, la GRC est censée traiter et protéger les renseignements personnels des Canadiens avec professionnalisme et intégrité. La GRC accorde la plus grande importance à cette responsabilité. Pour protéger les renseignements personnels qu'elle a en sa possession, la GRC a mis en place des politiques et des procédures rigoureuses pour empêcher toute communication et tout accès non autorisés au sein de l'organisation. Cependant, même avec ces procédures rigoureuses en place, des atteintes à la vie privée se produisent toujours, souvent à la suite d'une erreur humaine. Dans le cas de chaque atteinte à la vie privée, la GRC prend des mesures pour améliorer ses processus et s'assurer que des incidents similaires ne se reproduisent pas.

Lorsqu'une atteinte à la vie privée est décelée, la Sous-direction de l'AIPRP de la GRC suit les directives du SCT pour déterminer les risques d'atteinte à la vie privée et signale toutes les atteintes, jugées importantes, au Commissariat à la protection de la vie privée et au SCT.

Au cours de l'exercice 2021-2022, la GRC a signalé au CPVP et au SCT 13 atteintes substantielles à la vie privée. Ci dessous figure une brève description de ces atteintes :

1. Une entreprise tierce retenue par la GRC dans le cadre du Programme canadien des armes à feu (PCAF) pour des services d'impression et d'expédition a fait l'objet d'une attaque par rançongiciel. Des experts en cybersécurité de l'entreprise ont découvert cette infraction et l'ont signalée au Centre canadien de cybersécurité qui a déterminé qu'il y avait 60 % de chances que les données n'avaient pas été extraites. Des avis publiés sur le site Web du Secrétariat du Conseil du Trésor et sur celui du Programme canadien des armes à feu ont permis d'informer les personnes touchées par l'incident.
2. Un membre retraité de la GRC a demandé une copie de son dossier médical et a découvert que le dossier contenait des rapports psychologiques et des rapports d'examen de la vue de deux autres employés. Le membre à la retraite a retourné les documents mal classés à la GRC, mais ces documents ont été immédiatement placés dans les dossiers appropriés sans que personne ne note les noms des personnes concernées. En conséquence, la GRC n'a pas été en mesure d'aviser les parties concernées. Le groupe organise une formation sur la protection des renseignements personnels pour ses employés et étudie des solutions de rechange aux dossiers papier pour éviter que ce type d'incident ne se reproduise.
3. Un formulaire de sécurité de la GRC partiellement rempli contenant des renseignements personnels de nature délicate sur vingt personnes a été envoyé par inadvertance en copie à une autre personne. Le destinataire involontaire a supprimé le message et les personnes concernées, dont les adresses étaient connues, ont été informées. Pour éviter que cela ne se reproduise, l'employé concerné a suivi une formation supplémentaire de sensibilisation à la sécurité et le groupe a commencé à utiliser un nouveau système qui oblige les candidats à entrer leurs renseignements directement dans un portail en ligne au lieu de soumettre et de transmettre des documents papier ou numérisés entre les candidats et le personnel du groupe.
4. Une vérification certifiée de casier judiciaire a été postée au mauvais destinataire. Le rapport a été retourné à la GRC et la personne concernée a été informée. On a rappelé aux employés du groupe qu'ils doivent faire preuve d'une grande prudence lorsqu'ils traitent ce type de correspondance, compte tenu de son caractère très délicat.
5. Dans un courriel envoyé aux membres des familles des victimes de la catastrophe aérienne PS752, un employé a, par inadvertance, copié la liste de distribution au lieu de la copier en aveugle. Ainsi, tous les destinataires ont pu voir les adresses électroniques personnelles des personnes concernées. Les destinataires ont été invités à supprimer le courriel original et toutes les parties concernées ont été informées de l'incident.
6. Lors d'un cours sur les enquêtes de sécurité donné par le Collège canadien de police, une vidéo d'un polygraphe enregistré avant l'embauche a été montrée aux participants afin de décrire l'utilisation de certaines techniques d'entrevue. Pendant le cours, un participant a reconnu la personne dans la vidéo, c.-à-d. un employé de son propre organisme. Il a été déterminé que le Collège canadien de police n'avait pas obtenu le consentement de la personne pour utiliser ses renseignements personnels à cette fin. Lorsque l'atteinte a été relevée, il a été demandé aux participants au cours de maintenir la confidentialité et de ne plus discuter ou diffuser l'information montrée, la vidéo a été retirée du contenu du cours et la personne concernée a été informée.
7. Un superviseur a envoyé un courriel à son directeur pour lui demander des conseils concernant les besoins en congés d'un employé, mais a inclus par erreur des renseignements médicaux précis de l'employé et son état. On a rappelé aux employés du groupe leur obligation de protéger les renseignements personnels et de ne pas inclure de références précises au sujet des employés et de leurs renseignements médicaux lorsqu'ils demandent des conseils généraux. Le gestionnaire a supprimé le courriel et la personne concernée a été informée.
8. Le porte-documents de travail d'un employé du Service des laboratoires judiciaires de la GRC a été volé dans son véhicule, à sa résidence personnelle. Ce porte-documents contenait des dossiers papier relatifs à cinq enquêtes différentes sur des infractions graves. Les cinq dossiers contenaient des renseignements personnels sur des personnes identifiables. L'employé avait l'autorisation d'emporter les dossiers chez lui dans le cadre d'un régime de travail à distance, mais il les a laissés par inadvertance dans son véhicule pendant la nuit. On a rappelé aux employés du groupe les protocoles en place pour protéger les renseignements de nature délicate et toutes les personnes concernées ont été informées.
9. Une vérification certifiée de casier judiciaire a été postée au mauvais destinataire. Le destinataire a renvoyé le dossier à la GRC et la personne concernée a été informée. Les employés du groupe e ont dû revoir les procédures consignées et vérifier que le produit et l'enveloppe correspondent avant l'envoi.
10. Un employé des ressources humaines a envoyé à un gestionnaire une capture d'écran du solde des congés d'un employé. Cependant, l'image incluait par inadvertance la note médicale d'un autre employé et de la correspondance confidentielle. Le destinataire a supprimé le message et la personne concernée a été informée. L'employé a été informé de la manière correcte d'insérer et de partager des captures d'écran et on lui a rappelé son obligation de protéger les renseignements personnels.
11. Des renseignements personnels sur une personne ont été communiqués par inadvertance à son propriétaire dans une trousse d'accès à l'information. Le destinataire a supprimé les renseignements et la personne concernée a été informée. On a rappelé à l'employé de l'AIPRP son obligation de protéger les renseignements personnels.
12. Trois vérifications de casier judiciaire ont été envoyées par inadvertance aux mauvais destinataires. Les destinataires ont renvoyé les dossiers à la GRC et les personnes concernées ont été informées. Le groupe a mené une enquête sur ses flux de travail afin de déterminer la manière dont ces erreurs se sont produites et les moyens d'empêcher que des erreurs similaires ne se reproduisent. À la suite de cet examen, le groupe a imposé des pauses horaires à tous les employés et a embauché du personnel supplémentaire pour s'assurer que les employés restent concentrés, prennent leur temps et traitent dans l'ensemble un volume inférieur. Le groupe étudie également les moyens électroniques de transmettre les vérifications de dossiers aux clients, ce qui éliminerait la nécessité d'envoyer physiquement la correspondance par la poste.
13. Un employé de la GRC a utilisé la base de données PRIME-BC (Police Records Information Management Environment) pour fournir le numéro de téléphone et la ville d'une personne à un parent. On a découvert par la suite que cette personne était brouillée avec le parent et qu'elle croyait que ce dernier pouvait lui faire du mal. Bien que la GRC n'ait pas été en mesure de récupérer l'information auprès du parent, elle a pris des mesures opérationnelles pour protéger la personne. L'employé qui a commis cette atteinte a reçu des conseils opérationnels et l'incident a été noté dans son dossier de rendement.

Évaluations des facteurs relatifs à la vie privée

Au cours de la période de référence, la GRC a réalisé une EFVP pour la solution de gestion des cas d'invalidité ainsi qu'un addenda à l'EFVP actuelle du Programme de reconnaissance automatique des plaques d'immatriculation. L'EFVP et l'addenda ont été soumis au CPVP et au Secrétariat du Conseil du Trésor au cours de l'exercice 2021-2022.

Solution de gestion des dossiers d'invalidité – Évaluation des facteurs relatifs à la vie privée

La GRC a fait l'acquisition d'une solution logicielle Web de gestion des dossiers d'invalidité (GDI) spécialement conçue pour appuyer l'intervention précoce, la gestion proactive des dossiers d'invalidité, le retour au travail et les pratiques exemplaires et flux de travail en matière d'adaptation du milieu de travail. La mise en œuvre de cette solution informatique permettra ce qui suit :

1. saisir et protéger les renseignements personnels, les renseignements médicaux ainsi que les renseignements sur les blessures et les maladies des membres, de même que les détails concernant les plans de retour au travail et l'obligation de prendre des mesures d'adaptation;
2. soutenir une coordination efficace des activités de gestion des dossiers entre les intervenants internes afin d'apporter les soutiens nécessaires aux membres malades ou blessés et de faciliter un retour au travail réussi et sécuritaire;
3. minimiser le fardeau administratif d'une centaine de praticiens de la gestion de l'invalidité, de la santé au travail et de la prise de mesures d'adaptation dans l'ensemble de la Gendarmerie grâce à des normes de service intégrées, à la génération automatique de tâches prédéfinies de gestion des dossiers d'invalidité et à des outils de travail;
4. fournir aux membres un accès facile aux renseignements pertinents propres à leur dossier de même que faciliter la communication et la soumission de documents;
5. fournir à la direction des renseignements sur l'état des employés qui relèvent de sa hiérarchie;
6. fournir à la direction une capacité de production de rapports sur demande.

La solution de GDI permet d'héberger tous les renseignements relatifs à un dossier de gestion d'invalidité et de mesures d'adaptation dans un seul système, accessible comme il se doit aux intervenants concernés. Elle permettra de s'assurer que la documentation médicale et non médicale est complète et que la direction de la GRC dispose de rapports en temps réel sur les principaux paramètres et les principales tendances en matière de gestion des invalidités. La solution de GDI favorisera l'uniformité de la gestion des invalidités dans toutes les divisions; elle permettra de cerner les tendances et de déceler les lacunes en matière de santé et de milieu de travail, d'améliorer l'efficacité des processus et d'orienter les changements apportés aux politiques et aux stratégies de la Gestion de la santé au travail et du Programme de mesures d'adaptation. En outre, elle permettra à la direction de suivre et d'évaluer la gestion de l'invalidité et les efforts d'adaptation grâce à des tableaux de bord de gestion et à la génération de rapports prédéfinis et personnalisés.

Bien qu'une solution Web de GDI puisse présenter certains défis pour la GRC en matière de protection et de traitement des renseignements personnels, la protection des renseignements personnels demeure un élément central de l'administration et de la prestation de services de ces programmes de ressources humaines.

La solution de GDI peut présenter un risque modéré à élevé pour la protection des renseignements personnels. Bien que les répercussions inhérentes sur la protection des renseignements personnels liées à l'administration de la solution de GDI soient probablement plus modérées que ce qui est indiqué, les risques pour la protection des renseignements personnels liés à la collecte et à l'utilisation de renseignements sur la santé augmentent la cote générale de risque du programme.

En reconnaissance des risques inhérents à la protection des renseignements personnels liés à l'exécution et à l'administration de la solution de GDI, la GRC et son expert-conseil sont censés mettre en place des mesures de contrôle importantes pour gérer et atténuer les problèmes potentiels de protection des renseignements personnels.

Addenda au Programme de reconnaissance automatique des plaques d'immatriculation (RAPI) – Intégrité des frontières de la GRC en Colombie-Britannique

Le Programme de l'intégrité des frontières de la GRC en Colombie-Britannique utilisera des caméras de RAPI statiques montées sur des poteaux électriques avec un champ de vision très étroit (plaques d'immatriculation uniquement). Ces caméras seront déployées à des points stratégiques le long de la frontière internationale entre le Canada et les États-Unis afin de contribuer à la lutte contre l'immigration illégale et la criminalité transfrontalière. Cette initiative est séparée et distincte du Programme de RAPI de la Colombie-Britannique actuellement exécuté par la BC Highway Patrol. Contrairement à la BC Highway Patrol, le Groupe de l'intégrité des frontières ne comparera pas instantanément les plaques d'immatriculation aux ensembles de données du Centre d'information de la police canadienne (CIPC) ou de l'Insurance Corporation of British Columbia (ICBC) pour trouver des correspondances.

La collecte des renseignements sur les plaques d'immatriculation est strictement destinée à des fins d'enquête (c.‑à‑d. la contrebande transfrontalière et la criminalité). En tant que tels, les enquêteurs ne sauraient pas si les renseignements recueillis ont une valeur probante, à moins qu'une plaque ne fasse surface au cours de l'enquête. Cette information ne serait probablement pas connue immédiatement, de sorte que dans les sept (7) jours, les enquêteurs pourraient alors revenir en arrière et examiner les données pour cette période. Si aucune information pertinente n'est saisie, toutes les données recueillies pour cette période seront automatiquement effacées. Tout renseignement pertinent sur les occurrences serait conservé à des fins d'enquête, conformément aux périodes de conservation établies.

La Sous-direction de l'AIPRP a effectué un examen approfondi de l'EFVP originale. Des recommandations ont été formulées à l'intention du gestionnaire de programme pour veiller à l'évaluation des risques liés à la protection des renseignements personnels et à la proposition de mesures pour atténuer ces risques.

De plus, au cours de l'exercice, la Sous-direction de l'AIPRP de la GRC a reçu 11 nouvelles EFVP, 48 nouveaux questionnaires pour déterminer la nécessité d'une EFVP et a répondu à plus de 30 demandes de renseignements liées à l'EFVP.

Communication de renseignements pour des raisons d'intérêt public

Au cours de l'exercice 2021-2022, 51 communications ont été faites en application de l'alinéa 8(2)m) de la LPRP, qui autorise la communication lorsque des raisons d'intérêt public justifient nettement une éventuelle violation de la vie privée ou lorsque l'individu concerné en tirerait un avantage certain. Toutes les communications se rapportaient soit à la situation professionnelle d'employés de la GRC visés par des accusations ou à la mise en liberté de délinquants dangereux dans des collectivités au Canada. Conformément au paragraphe 8(5) de la LPRP, le CPVP a été avisé par écrit de toutes ces communications.

Annexe A – Ordonnance de délégation de pouvoirs

Ordonnance de délégation de pouvoirs en vertu de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels

En vertu de l'article 73 de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels, le ministre de la Sécurité publique et de la Protection civile délègue aux titulaires des postes mentionnés dans la présente l'annexe, ou aux personnes occupant à titre intérimaire lesdits postes, les attributions dont il est, en qualité de responsable d'une institution fédérale, c'est‑à‑dire, la Gendarmerie royale du Canada, investi par les articles de la loi mentionnés en regard de chaque poste. Cette délégation annule et remplace toute autre délégation précédemment datée et signée par le ministre.

Signé, à Ottawa, ce 4e jour de décembre 2015

L'honourable Ralph Goodale, P.C., M.P.
Ministre de la Sécurité publique et de la Protection civile

Annexe B – Rapport statistique sur la Loi sur l'accès à l'information

Nom de l'institution

Gendarmerie royale du Canada

Période de référence

1 avril 2021 au 31 mars 2022

Section 1: Demandes en vertu de la Loi sur la protection des renseignements personnels

Section 2: Demandes informelles

Section 3: Demandes fermées pendant la période d'établissement de rapport

3.5 Complexité

3.6. Demandes fermées

3.7 Présomption de refus

Section 4: Communication en vertu des paragraphes 8(2) et 8(5)

Section 5: Demandes de correction de renseignements personnels et mentions

Section 6: Prorogations

Section 7: Demandes de consultation reçues d'autres institutions et organisations

Section 8: Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

Section 9: Avis de plaintes et d'enquêtes reçus

Section 10: Évaluations des facteurs relatifs à la vie privée (ÉFVP) et fichiers de renseignements personnels (FRP)

Section 11: Atteintes à la vie privée

Section 12: Ressources liées à la Loi sur la protection des renseignements personnels

Annexe C – Rapport statistique supplémentaire sur la Loi sur la protection des renseignements personnels

Section 1 : Capacité de recevoir des demandes en vertu de la Loi sur la protection des renseignements personnels

Section 2: Capacité de traiter les documents en vertu de la Loi sur la protection des renseignements personnels

Section 4: Demandes ouvertes et plaintes en vertu de la Loi sur la protection des renseignements personnels

Section 5: Numéro d'assurance sociale (NAS)

Votre institution a-t-elle reçu l'autorisation de procéder à une nouvelle collecte ou à une nouvelle utilisation cohérente du NAS en 2021-2022?

Non

Date de modification :

2022-12-05