Les programmes statistiques de Statistique Canada doivent respecter les normes de l'organisme à la fois pour la sécurité informatique et la sécurité physique. La sécurité physique comprend les contrôles d'accès sur les lieux de travail où les renseignements personnels sont conservés, mis à jour ou utilisés, les cartes d'identité des personnes autorisées et les caméras de surveillance dans les espaces publics. La sécurité informatique comprend les contrôles d'accès physique au serveur pour le personnel autorisé seulement, la protection des mots de passe utilisés pour accéder au serveur et à la base de données ou à l'outil, la configuration et l'utilisation d'un coupe-feu. Pour cette raison, les cotes indiquées dans les grilles d'évaluation de la menace et des risques (EMR) pour un accès non autorisé par un employé de Statistique Canada ou par une personne à l'extérieur de Statistique Canada correspondent à une faible probabilité.
Lorsqu'une atteinte suspectée ou avérée à la sécurité est découverte (même si elle est peu probable), les étapes énumérées ci-dessous sont suivies :
- Notification immédiate de l'agent de sécurité du Bureau (statisticien en chef adjoint du Secteur du recensement, des opérations et des communications) et du coordonnateur de la protection des renseignements personnels du Bureau (directeur, Division de la gestion de l'information). La réponse pourrait inclure une interruption des activités du ou des programmes.
- Une enquête serait menée en collaboration avec la sécurité ministérielle et la sécurité des TI au terme de laquelle des recommandations seraient faites pour empêcher qu'une telle situation ne se reproduise. Les enquêtes permettent de consigner les circonstances qui ont causé l'atteinte à la vie privée, et de déterminer les renseignements qui ont été divulgués, y compris les répercussions et les mesures qui ont été prises pour empêcher qu'une telle situation ne se reproduise.
- Dans le cas d'une « atteinte substantielle à la vie privée », Statistique Canada doit, selon la Directive sur les pratiques relatives à la protection de la vie privée du Secrétariat du Conseil du Trésor (SCT), avertir le Commissariat à la protection de la vie privée (CPVP) et le Secrétariat du Conseil du Trésor (SCT). Les « atteintes substantielles » mettent en jeu les renseignements personnels de nature délicate, atteintes qui pourraient selon toute vraisemblance causer des dommages ou un tort sérieux à la personne.
- Des explications sont fournies aux personnes touchées par la situation ainsi qu'une description des étapes suivies pour supprimer les renseignements qui sont entre les mains de personnes non autorisées. Les personnes seraient également informées qu'elles ont le droit de déposer une plainte auprès du Commissariat à la protection de la vie privée (CPVP). Le nom des personnes dont les renseignements personnels auront été divulgués est communiqué au CPVP et au SCT, y compris les résultats de l'enquête et les mesures prises pour empêcher que la situation ne se reproduise.
Le Protocole est passé en revue régulièrement pour s'assurer que son contenu demeure pertinent. Les rapports d'incidents sont passés en revue régulièrement et les leçons tirées des incidents passés sont incluses dans les politiques, les directives et les pratiques en matière d'enquête.