Date de publication :

Institution fédérale

Secrétariat de l’Office de surveillance des activités en matière de sécurité nationale et de renseignement

Administrateur gouvernemental responsable de l’évaluation des facteurs relatifs à la vie privée (EFVP)

John Davies
Directeur général

Responsable de l’institution fédérale ou délégué aux termes de l’article 10 de la Loi de la protection des renseignements personnels

John Davies
Directeur général, OSSNR

Normes ou fichiers de renseignements personnels propres à l’institution

La plupart des fichiers de renseignements personnels (FRP) s’appliquent aux services internes de l’OSSNR. De plus, la présente EFVP porte sur les deux anciens FRP du Comité de surveillance des activités de renseignement de sécurité (CSARS) (Plaintes, CSARS PPU 005 et Contrats, CSARS PPU 010), ainsi que sur la recommandation selon laquelle un FRP propre à un examen est nécessaire conformément à l’alinéa 10(1)b) de la Loi sur la protection des renseignements personnels.

Autorisations législatives de l’activité

L’OSSNR a été constitué aux termes de l’article 3 de la Loi sur l’Office de surveillance des activités en matière de sécurité nationale et de renseignement (Loi sur l’OSSNR), qui est entrée en vigueur le 12 juillet 2019. L’OSSNR est constitué en grande partie des principaux éléments de l’ancien Comité de surveillance des activités de renseignement de sécurité (CSARS), qui avait été créé aux termes de la Loi sur le Service canadien du renseignement de sécurité, et qui a assumé les responsabilités de l’ancien Bureau du commissaire du Centre de la sécurité des télécommunications (BCCST), tel que l’établit la Loi sur la défense nationale.

La transition entre les deux organisations susmentionnées et le nouvel OSSNR (et son mandat élargi) est régie par la Loi de 2017 sur la sécurité nationale.

L’autorité juridique de l’OSSNR pour la collecte, l’utilisation et la communication de renseignements personnels conformément à son mandat découle de sa loi habilitante, soit la Loi sur l’OSSNR; plus particulièrement l’article 8.

Sommaire du projet / de l’initiative / du changement
En raison de la création de l’OSSNR, au moyen du transfert de l’ancien CSARS et du BCCST, ainsi que de son mandat élargi, la présente évaluation des facteurs relatifs à la vie privée (EFVP) se voulait une évaluation générale de l’OSSNR, au moment de l’élaboration de ses procédures et de ses politiques, y compris, entre autres, un ensemble de politiques sur la protection des renseignements personnels.

L’EFVP visait à évaluer les risques et lacunes existants au moment de l’évaluation et à s’assurer que des normes et des mesures de protection de la vie privée sont en place ou améliorées en temps opportun.

La collecte de renseignements personnels par l’OSSNR est intégrée au processus d’examen, dans le cadre duquel il recueille des renseignements auprès des institutions fédérales pour lesquelles il procède à un examen. Cependant, la collecte de renseignements personnels en vue d’un examen est à des fins non administratives – l’OSSNR l’utilise pour mener un examen de l’institution seulement; aucune décision n’est prise en ce qui concerne les personnes visées par les renseignements personnels auxquels le personnel a accès.

L’OSSNR a un mandat de plaintes et d’enquêtes qui implique la collecte de renseignements personnels directement auprès des plaignants et des décisions qui ont une incidence directe sur les personnes (à des fins administratives). Lors de la rédaction de l’EFVP, cette activité faisait l’objet d’un examen et de changements, par conséquent, l’EFVP ne porte pas sur ce programme. L’activité de programme fera plutôt l’objet d’une EFVP exhaustive subséquente plus tard en 2021-2022.

Le Secrétariat de l’OSSNR recueille également des renseignements sur ses employés afin d’offrir divers services, tels que la rémunération, les avantages sociaux, les congés et le contrôle de sécurité.

L’EFVP générale a relevé dix risques et 18 recommandations correspondantes afin d’atténuer ces risques. Aucun de ces risques n’est considéré comme élevé et toutes les mesures d’atténuation seront terminées avant la fin de 2021-2022.

Identification et catégorisation des secteurs de risque

Dans sa Directive sur l’évaluation des facteurs relatifs à la vie privée, le Conseil du Trésor a précisé que l’EFVP doit inclure une section dûment remplie sur l’identification et la catégorisation des secteurs de risque et que le tout doit être rendu public. Une cote de risque doit être attribuée à chaque secteur de risque nommé et décrit à l’annexe C de la Directive sur l’évaluation des facteurs relatifs à la vie privée du Conseil du Trésor. L’échelle de risque chiffrée est présentée en ordre croissant : le premier niveau représente le niveau de risques le plus bas pour le secteur, tandis que le quatrième niveau représente le niveau de risque le plus haut pour le secteur. Pour la présente EFVP, les secteurs et les niveaux de risque correspondants varient en raison de la vaste portée de l’EFVP afin d’inclure les RH et le contrôle de sécurité, et d’autres services internes, ainsi que la fonction d’examen du mandat de l’OSSNR.

Secteur de risque	Niveau de risque
Type de programme ou d’activité Enquête criminelle et application de la loi / Sécurité nationale Les renseignements personnels sont utilisés à des fins d’enquête et d’application de la loi dans un contexte criminel (p. ex., décisions pouvant mener à des accusations ou à des peines au criminel ou à la déportation pour des motifs liés à la sécurité nationale ou à un acte criminel).	4
Type de renseignements personnels recueillis et contexte Renseignements personnels de nature délicate, dont les profils détaillés, les allégations ou les soupçons et les échantillons de substances corporelles, ou éléments contextuels de nature particulièrement délicate entourant les renseignements personnels. Par exemple : renseignements personnels qui révèlent des détails intimes sur la santé, la situation financière, la religion ou le mode de vie de la personne et qui, par association, révèlent des données semblables au sujet d’autres personnes comme des membres de la famille.	4
Participation de partenaires et de membres du secteur privé au programme ou à l’activité Avec d’autres institutions fédérales et dans des circonstances limitées – Avec des gouvernements étrangers, des organisations internationales ou des organisations du secteur privé	4
Durée du programme ou de l’activité Programme à long terme Existing program that has been modified or is established with no clear “sunset”.	3
Population visée par le programme Le programme touche certains individus à des fins non administratives, ainsi que les employés de l’OSSNR à des fins administratives internes.	3
Technologie et vie privée La création de l’OSSNR nécessite la gestion de nouveaux réseaux pour gérer les renseignements personnels délicats recueillis par l’Office dans le cadre de son mandat d’examen, ainsi que les renseignements personnels des employés du Secrétariat.	S.O
Transmission des renseignements personnels Les renseignements personnels sont transférés à un dispositif portatif ou sont imprimés. Clé USB, disquette, ordinateur portatif, ou tout transfert de renseignements personnels à un support de données différent.	3
En cas d’atteinte à la vie privée, incidence sur la personne Une atteinte à la vie privée concernant les renseignements d’un employé peut entraîner une atteinte à la réputation ou des pertes financières modérées à importantes. La quantité de renseignements personnels délicats (casier judiciaire, fichiers audio d’entrevue de sécurité) et documents (dossiers de crédit) est considérable et pourrait, à l’occasion, soutenir un vol d’identité. Cependant, l’incidence la plus probable est l’embarras et l’atteinte à la réputation. En outre, toute violation d’une attestation de vaccination, de mesures d’adaptation ou de renseignements relatifs au test de dépistage rapide pourrait causer une atteinte mineure à importante à la réputation d’un employé du Secrétariat de l’OSSNR ou d’une personne nommée par décret (directeur général et membres de l’OSSNR).	S.O