Archivé – Vérification des accords de partage de données

Version finale du rapport de vérification
Vérification des accords de partage de données

Statistique Canada
Le 15 avril 2010
Numéro de projet : 80590-60 (

Document (PDF, 191.21 Ko)

)

• Résumé
• Introduction
  • Contexte
  • Objectifs
  • Étendue et approche
  • Autorité
• Conclusions, recommandations et réponse de la direction
  • Environnement de conformité à la confidentialité des APD
  • Évaluation des risques liés aux APD
  • Communication et gestion de l'information des APD
  • État de conformité en matière de confidentialité des APD
• Annexes
  • Annexe A : Critères de vérification
  • Annexe B : Nombre cumulatif d'accords de partage de données formels actifs de Statistique Canada à la fin de 2008
  • Annexe C : Glossaire

Résumé

Statistique Canada a conclu des accords de partage de données (APD) en vertu des articles 11 et 12 de la Loi sur la statistique depuis 1976. La conclusion d'APD est devenue un processus opérationnel clé. Ces accords, aujourd'hui au nombre de 500, touchent presque toutes les enquêtes entreprises ainsi que la majorité des enquêtes ménages et prévoient certaines exceptions en matière de diffusion des renseignements confidentiels sur les répondants. Ces dernières années, la gestion du partage des données a pris de l'ampleur et est devenue de plus en plus complexe. La protection de la confidentialité des données partagées, une valeur clé du Service axé sur les citoyens, des Valeurs et de la Gérance à Statistique Canada, présente un défi. Les APD entrent dans un cadre de gestion multipartite caractérisé par une gestion répartie selon diverses dispositions en matière de responsabilité entre les groupes de Statistique Canada et les partenaires des APD (organismes canadiens externes). Les risques de non conformité aux exigences législatives et politiques en matière de protection de la confidentialité et d'atteinte à la réputation de Statistique Canada ont été jugés élevés.

Les objectifs de la présente vérification étaient de fournir au statisticien en chef et au Comité Ministériel de vérification (CMV) l'assurance que le Cadre de contrôle de gestion (CCG) de la confidentialité des APD de Statistique Canada est pertinent et efficace pendant tout le cycle de vie des APD; et que les activités qui appuient le CCG de la confidentialité des APD sont conformes aux lois et politiques sur la confidentialité du gouvernement du Canada et de Statistique Canada pendant tout le cycle de vie des APD.

La vérification a été effectuée par les services de vérification interne de Statistique Canada et les éléments de preuve ont été recueillis en conformité avec les normes de vérification interne dans l'administration fédérale du Canada et le Cadre international de référence des pratiques professionnelles (CIRPP) de l'Institut des vérificateurs internes.

La vérification a permis de constater que Statistique Canada et ses partenaires se conforment aux lois et aux politiques pertinentes. Toutefois, il existe des possibilités de renforcer le cadre de contrôle de gestion se rapportant aux APD dans les domaines de la gestion des risques, du suivi ou de la surveillance et de la gestion ainsi que de la communication de l'information.

Le cadre de contrôle gestion des APD se compose de cinq éléments : la planification et la présentation de rapports, la gestion et la communication de l'information, l'évaluation des risques, le suivi et l'environnement de conformité de la confidentialité. L'environnement de conformité de la confidentialité des APD est satisfaisant en tant qu'élément du cadre de contrôle de gestion. La vérification a révélé qu'il n'y a pas de politique globale ou un document unique portant sur la gestion des APD qui combinerait toutes les exigences pertinentes concernant la conformité en matière de confidentialité, couvrant toute la durée du cycle de vie d'un APD et l'établissement d'un cadre de contrôle de gestion approprié.

La gestion systématique des risques est un élément fondamental d'une bonne gestion publique. Le cadre de contrôle de gestion des APD comprend des pratiques fragmentées et souvent ponctuelles de gestion des risques dans le cadre de l'évaluation de la conformité en matière de confidentialité. Des possibilités s'offrent au niveau de l'organisme et des divisions d'améliorer les pratiques de gestion des risques.

L'accès à l'information est l'une des valeurs clés de Statistique Canada, qui comprend l'accès aux données partagées par les partenaires des APD en vertu des accords de partage des données. La vérification a révélé des APD inactifs et des cas où les données partagées n'étaient pas fournies aux partenaires en temps opportun. Une meilleure intégration des dossiers et l'élaboration de protocoles intégrés amélioreraient les pratiques de gestion et de communication de l'information.

En ce qui a trait à l'état de conformité en matière de confidentialité des APD, Statistique Canada et les partenaires des APD se conforment aux exigences législatives et stratégiques et aucune atteinte à la confidentialité n'a été détectée. Toutefois, l'information requise pour évaluer la conformité en matière de confidentialité était souvent fragmentée et incomplète à l'étape de la surveillance du cycle de vie de l'APD. Un régime de contrôle de gestion fournirait suffisamment de renseignements fiables pour la prise de décisions en ce qui concerne la pertinence et la gestion de la confidentialité.

Dans l'ensemble, l'occasion s'offre d'adapter un modèle stratégique de gestion des risques et d'appliquer les principes de la surveillance active en ce qui concerne les APD, ce qui améliorerait l'efficacité de la gestion.

Introduction

Contexte

Pendant plus de 30 ans, Statistique Canada a exercé le mandat qui lui a été confié de conclure des accords de partage de données statistiques (APD) avec d'autres organisations assujetties aux articles 11 et 12 de la Loi sur la statistique. La conclusion d'APD est devenue un processus opérationnel clé. Ces accords, actuellement au nombre de 500, touchent presque toutes les enquêtes entreprises ainsi qu'une majorité d'enquêtes ménages et prévoient certaines exceptions concernant la diffusion des renseignements confidentiels sur les répondants, avec ou sans leur consentement, à la condition que toutes les parties respectent les exigences prévues par la loi en matière de fourniture de renseignements sur le partage des données, de droits liés au consentement et de protection de la confidentialité. En général, il y a partage de données à des fins statistiques lorsqu'une enquête statistique et d'information est entreprise par les partenaires d'une enquête conjointe, ou qu'une source de données communes est la propriété à parts égales d'au moins deux partenaires. On procède au partage de données lorsqu'il entraîne une réduction importante du fardeau de réponse et des coûts de participation pour les partenaires du partage de données, ainsi que des améliorations de l'exactitude, de la couverture, de la pertinence et de l'actualité des données statistiques.

Plus particulièrement, la Loi sur la statistique autorise deux genres d'APD^{Footnote 1} :

• APD visés par l'art. 11 : partage de données avec les bureaux de la statistique provinciaux/territoriaux qui sont assujettis à des lois semblables à la Loi sur la statistique, loi fédérale qui prévoit le pouvoir de recueillir des renseignements à des fins statistiques et d'exiger une réponse des répondants ainsi que le partage obligatoire des données; cet article précise les exigences prévues par la loi pour assurer la protection de la confidentialité des renseignements des répondants et aviser ces derniers du partage de données prévu;
• APD visés par l'art. 12 : partage de données avec d'autres ministères fédéraux, des ministères provinciaux autres que de la statistique, des corporations municipales et d'autres entités juridiques, qui ont (selon leurs propres lois) ou n'ont pas le pouvoir légal d'exiger une réponse et de demander le partage de données de façon obligatoire et non volontaire; cet article précise les exigences prévues par la loi pour assurer la protection de la confidentialité des renseignements des répondants, les aviser du partage de données prévu et, en cas de partage de données de façon volontaire, les informer de leur droit de s'opposer au partage de données.

En 2008, le nombre d'accords de partage de données statistiques a atteint le cap des 500. La plupart des APD, soit 94 %, sont classés comme des accords de partage de données de façon volontaire. Ils entrent dans la catégorie des APD visés par l'art. 11, où les répondants ont le droit de refuser de partager les renseignements. Les accords restants sont répartis entre les APD provinciaux/territoriaux de partage obligatoire des données en vertu de l'art. 116 (4 %) et les APD de partage obligatoire des données en vertu de l'art. 12+ (2 %)^{Footnote 2} . Le grand nombre d'APD montre bien la nécessité, pour les organismes canadiens, de collaborer à la collecte, la compilation et la publication des renseignements statistiques.

Parallèlement, l'environnement fédéral de contrôle de la sécurité et de protection des renseignements personnels s'est resserré et est devenu plus complexe lorsque la Loi sur la protection des renseignements personnels (1985), la Politique d'évaluation des facteurs relatifs à la vie privée du SCT (2002) et la Politique du gouvernement sur la sécurité (2002) sont entrées en vigueur. En réaction, Statistique Canada a établi des mécanismes de contrôle larges^{Footnote 3} pour protéger la confidentialité des données des répondants, y compris celles obtenues en application des APD.

Le Cadre de contrôle de gestion de la confidentialité des APD (CCG de la confidentialité des APD) permet à Statistique Canada et aux partenaires des APD de s'organiser de manière à diffuser, coordonner et gérer les risques de divulgation de données confidentielles liés aux processus de partage de données et à assurer la conformité aux lois et politiques pertinentes. Trois grands groupes d'exigences législatives et stratégiques s'appliquent aux APD et sont couverts par le cadre de contrôle de gestion de la confidentialité : 1) les exigences générales en matière de gestion des droits liés au consentement et à l'information des APD (IRE); 2) les exigences générales portant sur la gestion de la confidentialité des APD (c.-à-d. sécurité matérielle, des TI et du personnel); et 3) les mesures de protection de la confidentialité propres à l'APD (dans ce cas, le partage de données avec des tiers ou le partage avec d'autres parties).

Le CCG de la confidentialité des APD de Statistique Canada est caractérisé par une gestion répartie, des mandats distincts et diverses dispositions en matière de responsabilité entre les parties clés suivantes :

• Unité de StatCan : la Division des services d'accès et de contrôle des données (SACD) pour ce qui est de la consultation et de la vérification juridique;
• Divisions de StatCan : les divisions qui gèrent les enquêtes et qui sont chargées de la mise en œuvre des APD connexes et des activités menées en vertu de ces dernières (cela comprend la surveillance des régions de collecte et des partenaires de la collecte);
• Partenaires des APD : les administrations fédérale, provinciales/territoriales ou municipales et autres entités juridiques canadiennes.

Objectifs

Les objectifs de la présente vérification sont de fournir au statisticien en chef et au Comité Ministériel de vérification (CMV) l'assurance que :

1. le CCG de la confidentialité des APD de Statistique Canada est pertinent et efficace pendant tout le cycle de vie des APD;
2. les activités qui appuient le CCG de la confidentialité des APD sont conformes aux lois et politiques sur la confidentialité du gouvernement du Canada et de Statistique Canada pendant tout le cycle de vie des APD

Étendue et approche

La mission de vérification a été accomplie conformément aux Normes de vérification interne dans l'administration fédérale et au Cadre international de référence des pratiques professionnelles de CIRPP de l'Institut des vérificateurs internes (IVI). Tous les travaux ont été effectués en collaboration avec les SACD, les divisions de Statistique Canada et les gestionnaires partenaires responsables des ADP sélectionnés dans l'échantillon de vérification. L'approche de vérification s'est inspirée du Cadre de responsabilisation de gestion (CRG) du gouvernement du Canada et des lignes directrices sur les contrôles de gestion fondamentaux émises par le Bureau du contrôleur général (critères de vérification, annexe A).

L'univers de la vérification se composait de 500 APD actifs et formels visés par l'art. 11, l'art. 12 et l'art. 12 + pour la période allant de 1976 à 2008 (voir l'annexe B). L'étendue de la vérification comprenait :

• l'évaluation du Cadre de contrôle de gestion de la confidentialité des APD, cadre multipartite de Statistique Canada créé pour un système d'APD, portant sur la période allant d'octobre 1976 à octobre 2008 et tous les APD;
• l'exécution de tests de contrôle de la conformité pour les APD formels actifs sélectionnés : un échantillon de 39 APD, dont 31 étaient des APD visés par l'art. 12 (pour la période allant d'octobre 2006 à octobre 2008) et 8 étaient des APD visés par l'art 12+ (tous); l'échantillon couvrait 80 enquêtes entreprises et enquêtes sociales, 10 divisions gérant des APD à Statistique Canada et 32 partenaires d'APD^{Footnote 4}.

L'évaluation du cadre du contrôle de gestion de la confidentialité des APD a nécessité un examen complet des pratiques multipartites en matière de conformité à la confidentialité des APD le long de dimensions telles que l'environnement de conformité de la confidentialité des APD, l'évaluation des risques, la planification et la présentation de rapports, l'information et la communication, ainsi que la surveillance des trois groupes d'exigences législatives et stratégiques (voir l'annexe C). Les méthodes suivantes ont été utilisées pour le travail de vérification : entrevues de vérification avec la direction de Statistique Canada, enquêtes de vérification, examens des contrôles et tests de la conformité.

Les APD visés par l'art. 12 adoptés officiellement avant octobre 2006 ont été exclus des tests de contrôle de la conformité en raison d'importants changements de gestion, c. à d. l'instauration de contrôles améliorés de la confidentialité et de clauses d'examen et de vérification par Statistique Canada, de même que tous les ADP visés par l'art. 11 étant donné leur niveau de risque relativement moins élevé^{Footnote 5} .

Autorité

La vérification a été réalisée par les Services de vérification interne conformément au Plan de vérification axé sur les risques de Statistique Canada pour les exercices 2008 2009 à 2010 2011, qui a été approuvé par le Comité de vérification interne le 19 mars 2008.

Conclusions, recommandations et réponses de la direction

Un cadre de contrôle de gestion pertinent et efficace de la conformité à la confidentialité des APD, par rapport aux trois groupes d'exigences législatives et stratégiques, comprendrait la planification et la présentation de rapports, la gestion et la communication d'information, l'évaluation des risques, la surveillance et l'environnement de conformité.

Relativement à l'objectif 1, parmi les cinq dimensions du CCG, seul l'environnement de conformité à la confidentialité des APD est entièrement géré (voir la figure1). Le reste des éléments du CCG en sont en diverses étapes d'élaboration, toute une gamme d'améliorations devant être apportées pour remédier à des lacunes particulières dans l'évaluation des risques, la gestion et la communication d'information ainsi que la surveillance.

L'environnement de conformité de la confidentialité des APD en tant qu'élément du CCG est satisfaisant. Toutefois, la vérification a révélé qu'il n'existe pas une seule politique ou un seul document exhaustif sur la gestion des APD qui combine toutes les exigences pertinentes de conformité en matière de confidentialité, couvre tout le cycle de vie d'un APD et établit un CCG approprié.

La gestion systématique des risques est un élément fondamental d'une bonne gestion publique. Le cadre de contrôle de gestion des APD comprend des pratiques fragmentées et souvent ponctuelles en ce qui a trait à la gestion des risques au moment d'évaluer la conformité à la confidentialité.

L'accès à l'information est une valeur clé de Statistique Canada, qui comprend l'accès aux données partagées par les partenaires des APD en vertu des accords de partage des données. La vérification a révélé des APD inactifs et des cas où les données partagées n'étaient pas fournies aux partenaires en temps opportun. Une meilleure intégration des dossiers et l'élaboration de protocoles intégrés et normalisés amélioreraient les pratiques de gestion et de communication de l'information.

Relativement à l'objectif 2, Statistique Canada et les partenaires des APD se conforment aux exigences législatives et stratégiques en matière de protection de la confidentialité; toutefois, l'information requise pour évaluer la conformité était souvent fragmentée et incomplète à l'étape de surveillance du cycle de vie de l'APD.

Toutes les recommandations ainsi que les réponses de la direction et les plans d'action (RTPA) doivent être examinés dans le contexte de la structure de gestion actuelle de Statistique Canada.

Environnement de conformité à la confidentialité des APD

La gestion appropriée et efficace des APD doit comprendre des mesures de contrôle de la conformité en matière de confidentialité, la gouvernance, la reddition de comptes, des mécanismes de responsabilisation, une formation et des processus opérationnels pendant tout le cycle de vie des APD. La vérification a permis de déterminer que l'environnement de conformité à la confidentialité des APD est déterminé, communiqué et géré entre les parties aux APD, particulièrement à l'étape de la conception et de la négociation des accords. Toutefois, l'environnement est complexe, il est difficile d'y naviguer et il est caractérisé par l'absence d'un cadre stratégique intégré de gestion des APD.

Les exigences en matière de conformité à la confidentialité des APD sont déterminées au moyen des contrôles préventifs prévus dans la Loi sur la statistique, la Loi sur la protection de renseignements personnels, la Politique d'évaluation des facteurs relatifs à la vie privée (EFVP) de StatCan, la Politique sur l'information des répondants aux enquêtes (IRE) de StatCan, la Politique sur la sécurité des renseignements statistiques de nature délicate de StatCan, la Politique sur la sécurité des TI de StatCan, la politique de StatCan sur la divulgation des microdonnées, la Politique relative à la révélation discrétionnaire de StatCan et les lignes directrices connexes. Les dispositions en matière de conclusion d'APD dans les lois et les politiques susmentionnées sont fragmentées et difficiles à rassembler pour ceux qui ne les consultent pas quotidiennement. Les textes des APD et les annexes connexes portant sur la sécurité précisent les normes en matière de conformité à la confidentialité. Le fait que les APD comprennent souvent de nombreuses exigences de divers secteurs de compétence, lesquelles peuvent changer, rend la normalisation difficile, ce qui vient compliquer encore la situation.

Un cadre stratégique de gouvernance et de surveillance des ADP est établi et coordonné par les parties aux APD. Statistique Canada est doté d'un Comité de la confidentialité et des mesures législatives^{Footnote 6} qui tient des audiences portant sur les préoccupations et les propositions relatives aux APD émanant des divisions, des SACD et des partenaires des APD qui aboutissent à la prise de décisions et à l'élaboration de plans d'action. D'autres comités de gestion internes, comme le Comité des politiques, participent également selon le besoin. Les partenaires des APD peuvent jouer un rôle important aux étapes de la mise en œuvre des APD en participant aux travaux des comités directeurs et consultatifs ou des groupes techniques associés aux enquêtes visées par des APD. Ce processus permet à toutes les parties d'échanger des renseignements au sujet des questions de conformité à la confidentialité des APD.

Les pouvoirs et responsabilités opérationnels en matière de conformité à la confidentialité des APD sont répartis entre les diverses parties. Ces responsabilités sont limitées par les mandats de ces parties et ne sont pas nécessairement assumées pendant tout le cycle de vie d'une APD. Au sein de l'organisme, l'examen des textes législatifs et stratégiques, la négociation et l'approbation des APD, leur modification et leur expiration, ainsi que la coordination des demandes qui y sont associées entre ces étapes émanant des divisions spécialisées ou des partenaires des APD, sont confiés aux Services d'accès et de contrôle des données. Les SACD, outre qu'ils sont chargés de fournir des services aux deux divisions et aux partenaires des APD, ont un mandat limité qui est d'assurer la reddition de comptes à l'égard de la conformité à la confidentialité des APD. Les divisions d'enquête qui gèrent les APD consultent les SACD aux étapes de la planification et de la mise en œuvre des APD par l'entremise d'un ensemble de partenaires de soutien interne dans les domaines des services de collecte, des communications, des TI ou de la collecte conjointe avec les partenaires des APD externes. Il y a également gestion conjointe des APD par deux divisions de Statistique Canada ou plus dans le cas d'APD complexes pour lesquels il n'y a pas de lignes directrices claires en ce qui concerne les rôles et les responsabilités. Les partenaires des APD sont chargés de veiller à la conformité aux dispositions des APD aux étapes de la mise en œuvre des accords.

Nous avons constaté que les processus de contrôle de la conformité à la confidentialité des APD sont intégrés aux mécanismes de contrôle beaucoup plus vastes des opérations d'enquête. Les exigences générales en matière des droits liés à l'information et au consentement sont intégrées aux processus relatifs aux prescriptions des enquêtes. Les exigences générales en matière de protection de la confidentialité des APD sont comprises dans les exigences génériques portant sur la sécurité matérielle, des TI et du personnel, pour lesquelles des listes de contrôle et des procédures de sécurité sont établies. Des mesures de protection de la confidentialité propres aux APD, comme l'interdiction de partager des données avec des tiers ou l'accès restreint accordé dans certaines conditions aux chercheurs et aux organismes de recherche des partenaires des APD, sont précisées dans les accords. Ainsi, les gestionnaires doivent combiner tous ces éléments dans leurs propres règles et processus, ce qui explique les pratiques assez diverses en matière de gestion de la conformité à la confidentialité des APD observées au niveau des divisions. En outre, 90 % des divisions n'ont pas de gestionnaires des APD. Plutôt, la responsabilité de la gestion opérationnelle des APD revient aux gestionnaires d'enquêtes. Dans 80 % des divisions, il n'y a pas de guide du gestionnaire. Il n'y a pas de protocole opérationnel intégré ou de guides portant sur les APD dans toutes cinq dimensions du CCG.

Pour réduire la complexité de cet environnement et garantir la conformité, les SACD offrent des programmes de formation poussée dans tous les domaines génériques liés à la confidentialité. Cette formation porte sur les éléments de base des exigences en matière de conformité aux dispositions législatives et stratégiques et comprend certaines mentions des APD. Toutefois, elle n'est pas suffisamment spécifique et opérationnelle pour permettre aux gestionnaires de l'appliquer en toute confiance. Par conséquent, les SACD reçoivent des demandes constantes de conseils, de précisions, d'examens, de lettres officielles, de séances de formation personnalisées, etc.

L'absence d'une politique ou d'un cadre intégré de gestion des APD rend d'autant plus complexe la tâche de gestion de la conformité à la confidentialité des APD et accroît le risque d'interprétation erronée et de confusion, ce qui peut entraîner des violations de la confidentialité. Cela peut entraîner également des applications hétérogènes et erronées des exigences en matière de conformité à la confidentialité des APD. Une politique unique intégrée sera d'une plus grande clarté globale pour l'environnement de conformité à la confidentialité des APD.

Recommandation n^o 1

Il est recommandé que le statisticien en chef adjoint des Services intégrés assure que les Services d'accès et de contrôle des données élaborent une politique exhaustive et intégrée portant sur la gestion des accords de partage des données de manière à assurer un contrôle approprié tout au long du cycle de vie des APD.

Réponse de la direction

La direction accepte la recommandation.

Les SACD élaboreront un processus de gouvernance des APD reposant sur une politique ou une directive, qui sera intégré au cadre de gestion des risques. En outre, les divisions seront priées de faire rapport de cet élément conformément aux nouvelles lignes directrices de Statistique Canada touchant l'Examen quadriennal de programme (EQP).

Résultats attendus et échéanciers :

• Présentation du processus de gouvernance au Comité de la confidentialité et des mesures législatives.
  Intégration de cet élément aux lignes directrices touchant l'Examen quadriennal de programme (EQP).
• Directeur, Services d'accès et de contrôle des données et directeur, Division de la planification intégrée et de l'évaluation – octobre 2010.

Évaluation des risques liés aux APD

Un modèle approprié de gestion des risques comprendrait des pratiques pertinentes et efficaces d'évaluation des risques de non conformité et/ou de non déclaration des violations et des lacunes liées à la confidentialité des APD. La vérification a révélé que des mécanismes systématiques et structurés d'évaluation des risques liés aux APD ne sont pas en place; plutôt, ils sont fragmentés, ponctuels et gérés de façon officieuse.

Au niveau de l'organisme (SACD), nous avons constaté que les risques de non conformité pour la gestion générale des droits liés au consentement et à l'information des APD sont évalués à l'étape de la conception et de la négociation des APD au moyen d'évaluations des facteurs relatifs à la vie privée génériques ou particuliers. Les risques de non conformité pour les deux autres groupes d'exigences, à savoir la protection générale de la confidentialité des APD et les mesures de protection de la confidentialité propres aux APD, ne sont pas évalués de façon officielle par les SACD en raison de la nouveauté de l'initiative de gestion des risques à Statistique Canada. Au niveau des divisions, étant donné les limites du mandat des divisions qui gèrent des APD, la moitié des directeurs ont évalué leurs processus de gestion des risques liés aux APD comme étant gérés de façon officieuse et non systématique, tandis que l'autre moitié ont reconnu qu'aucune activité n'était menée dans ce domaine. Toutefois, tous ont confirmé que les procédures de déclaration des violations et des lacunes des mesures de contrôle de la confidentialité sont connues et mises en œuvre lorsque des violations sont déclarées. On s'attend à ce que les employés qui commettent une erreur le signalent ou à ce que cette erreur soit détectée. Au niveau des partenaires des APD, il n'y a pas suffisamment d'éléments de preuve pour permettre d'en arriver à une conclusion.

Il y a un risque que l'absence de pratiques officielles, intégrées et continues de gestion des risques en matière de confidentialité des APD et la non déclaration de risques à l'échelle des parties aux APD empêchent de détecter les violations de la confidentialité ainsi que d'adopter des stratégies appropriées et efficaces d'atténuation des risques.

Recommandation n^o2

La direction accepte la recommandation.
Les SACD procéderont à une évaluation des menaces et des risques relativement à la gestion des APD.
Un rapport sera rédigé exposant les risques éventuels et les mesures qui pourraient être prises pour les éliminer ou les réduire.

Le processus sera répété périodiquement.
Le rapport sera présenté au Comité de la confidentialité et des mesures législatives.

Résultats attendus et échéanciers :

• Présentation du rapport au Comité de la confidentialité et des mesures législatives.
• Directeur, Services d'accès et de contrôle des données et directeur, Division de la planification intégrée et de l'évaluation – octobre 2010

Communication et gestion de l'information des APD

Un modèle approprié de communication et de gestion de l'information inclurait des systèmes, processus et protocoles appropriés et efficaces pour l'établissement de dossiers exhaustifs sur les APD et pour recueillir des données pertinentes sur le rendement en matière de conformité à la confidentialité des APD afin de faciliter le processus de prise de décision par la haute direction. On procède au partage de données lorsqu'il entraîne une réduction importante du fardeau de réponse et des coûts de participation pour les partenaires du partage, ainsi que des améliorations de l'exactitude, de la couverture, de la pertinence et de l'actualité des données statistiques. La vérification a révélé que les systèmes et processus de communication et de gestion de l'information des APD des SACD et des divisions qui gèrent les APD ne sont pas reliés et sont gérés selon les mandats respectifs de ces divisions. Cette pratique a pour résultat des dossiers hétérogènes et des lacunes dans l'information et la communication durant le cycle de vie de l'APD. La plupart des systèmes et processus de gestion des connaissances sont officieux.

Au niveau de l'organisme, nous avons constaté que l'information est conservée sur plusieurs supports : dossiers sur papier, base de données administratives des SACD et fichiers de serveurs. Ensemble, ces sources fournissent l'information nécessaire à la prise de décisions, mais il convient de les intégrer. Les indicateurs qui figurent dans la base de données des SACD sont utiles mais ils sont applicables principalement au début et à la fin du cycle de vie de l'APD, lorsque les SACD contrôlent les processus juridiques. Toutefois, l'information disponible au milieu du cycle de vie de l'APD est assez limitée. La collecte et l'analyse d'information sur la conformité à la confidentialité des APD ne sont pas prévues dans les systèmes et les processus.

Au niveau des divisions, la vérification a révélé que celles qui gèrent les APD structurent leurs propres processus opérationnels d'information et de communication. Nous avons constaté qu'elles n'ont pas établi de systèmes et processus systématiques et intégrés de communication, de gestion de l'information et de tenue de dossiers, mais qu'elles tiennent plutôt ce qu'elles considèrent être des dossiers essentiels portant sur leurs transactions avec les partenaires des APD, dossiers qui contiennent de l'information incomplète. Les gestionnaires des divisions comptent trop sur les APD pour obtenir l'information nécessaire, étant convaincus qu'ils peuvent toujours avoir accès aux dossiers et documents juridiques sur les APD sur demande. De plus, 60 % des directeurs sont d'avis qu'il est nécessaire d'établir une base de données électronique centrale sur les APD afin de permettre la gestion et la surveillance proactives de ces accords.

La vérification a révélé un problème de communication entre les parties aux APD concernant le moment de la diffusion des données partagées. Les divisions qui gèrent les APD supposent que les partenaires des APD demanderont le fichier de données partagées à l'annonce de la diffusion d'un communiqué dans la publication vedette externe de Statistique Canada, « Le Quotidien ». Toutefois, ce n'est pas le cas. En outre, la majorité des partenaires des APD ont eu de la difficulté à fournir l'information en temps opportun durant la vérification.

Il y a un risque qu'un modèle sous optimal de communication et de gestion de l'information des APD ne fournira pas une « vue d'ensemble » d'actualité, exacte, continue et holistique des APD propre à favoriser un processus efficace de prise de décisions.

Recommandation n^o 3

Il est recommandé que le statisticien en chef adjoint des Services intégrés assure que les Services d'accès et de contrôle des données renforcent les pratiques de communication et de gestion de l'information pour les APD.

Réponse de la direction

La direction accepte la recommandation.
Les SACD élaboreront une directive pour l'organisme énonçant formellement les pratiques requises.
L'ébauche de directive sera présentée au Comité de la confidentialité et des mesures législatives.

Résultat attendu et échéancier :

• Présentation de l'ébauche de directive au Comité de la confidentialité et des mesures législatives.
• Directeur, Services d'accès et de contrôle des données – octobre 2010

État de conformité en matière de confidentialité des APD

Nous nous attendions à constater la conformité au cadre stratégique du gouvernement et de Statistique Canada, aux exigences législatives et aux conditions et modalités des APD au cours de tout leur cycle de vie. La vérification a révélé que Statistique Canada et les partenaires des APD respectent les exigences législatives et stratégiques, mais que l'information, habituellement acquise au moyen d'un programme de surveillance, est insuffisante.

En 2006, les SACD ont commencé à inclure progressivement dans les textes des APD une clause d'examen et de vérification, lorsque les partenaires l'acceptent. Toutefois, la capacité de faire valoir cette clause de façon systématique n'existe pas. Il incombe aux divisions de Statistique Canada qui gèrent les APD et aux SACD de vérifier que les partenaires se conforment aux règles. La série de mesures législatives et stratégiques en vigueur ne prévoit pas la surveillance de la conformité à la confidentialité des APD, définie comme étant les pratiques en matière d'évaluation des contrôles de conformité à la confidentialité des APD, de communication et d'échange d'information sur les faiblesses liées aux contrôles et les mesures correctives prises, ainsi que la gestion des changements. Il y a quelques années, les SACD ont demandé aux partenaires des APD visés par l'art. 11 de procéder à une autoévaluation et de présenter leurs rapports.

En ce qui a trait à la conformité aux exigences générales en matière de gestion des droits liés au consentement et à l'information des APD, la vérification a révélé de constater qu'au niveau de l'organisme, les processus IRE et EVFP se rapportant à la vérification des documents d'enquête et des textes des APD sont bien gérés. Au niveau des divisions, la vérification a permis de constater qu'il y a lieu d'améliorer la surveillance des exigences relatives à l'IRE et en matière des droits liés au consentement se rapportant aux APD durant la mise en œuvre de l'enquête et la collecte de renseignements sur le rendement en matière de conformité dans les régions de collecte. Un mécanisme de collecte des objections des répondants au partage des données et des renonciations des répondants permettant le partage est en place pour toutes les divisions comprises dans l'échantillon de vérification. Toutefois, seulement la moitié d'entre elles ont déclaré avoir mis en place une procédure documentée pour le traitement de ces données, recueillir des rapports des régions de collecte et utiliser cette information dans la préparation des fichiers partagés.

La vérification a permis de déterminer que les exigences en matière de gestion générale de la sécurité matérielle, du personnel et des TI et de divulgation de l'information des APD sont précisées de la manière appropriée dans les textes des accords et que le personnel de Statistique Canada et les partenaires des APD s'y conforment. La vérification a révélé que 33 % des partenaires des APD ont déclaré qu'ils n'ont pas encore établi de processus parce qu'ils n'ont pas demandé les données ou qu'ils ne prévoient pas les demander.

En ce qui concerne le respect des mesures de protection de la confidentialité des APD relatives aux conditions de partage des données avec d'autres parties, nous avons constaté que l'interdiction de partage des données à des tiers est précisée dans les textes des APD ou durant le processus de négociation. Dans des circonstances exceptionnelles, le partage des données à des tiers est permis sous réserve d'un examen sur le plan législatif et de la sécurité par les SACD. Dans la clause des accords portant sur l'utilisation de l'information, l'accès aux données partagées peut être accordé dans des conditions très strictes de sécurité et de non divulgation aux participants à des contrats de recherche et organismes de recherche travaillant directement pour les partenaires des APD. La vérification a révélé que, souvent, les participants aux contrats de recherche et les organismes de recherche sont embauchés par les partenaires des APD une fois que les données partagées deviennent disponibles, quand les étapes de mise en œuvre ou de surveillance des APD sont bien avancées. Que les APD soient de nature facultative ou obligatoire, les divisions disposent de processus assez limités de coordination et de surveillance du partage des données avec d'autres participants. Les gestionnaires connaissent les dispositions des APD, mais la documentation systématique indiquant la façon dont ces processus sont gérés n'était pas disponible dans tous les cas au moment de la vérification.

Les pratiques de surveillance ne sont pas systématiques, leur couverture est limitée et elles ne fournissent pas de renseignements complets sur les APD en ce qui a trait à la confidentialité. Le risque d'une surveillance insuffisante peut empêcher de détecter les lacunes et les violations de la confidentialité au regard des exigences législatives et stratégiques des APD. Par conséquent, il est impossible de mettre en œuvre des mesures correctives efficaces en temps opportun. L'absence d'un régime de surveillance strict entraîne l'accumulation d'APD inactifs, qui idéalement seraient résiliés ou modifiés.

Recommandation n^o 4

Il est recommandé que le statisticien en chef adjoint des Services intégrés assure que les Services d'accès et de contrôle des données mettent en œuvre un programme de surveillance des APD.

Réponse de la direction

La direction accepte la recommandation.
Les SACD élaboreront une proposition pour un programme de surveillance des APD, y compris les besoins de ressources. Cette proposition devra préciser le temps de travail des employés qui devra être consacré à la gestion de la surveillance ainsi que les frais de déplacement.
Le programme de surveillance proposé sera présenté au Comité de la confidentialité et des mesures législatives.

Résultat attendu et échéancier :

• Présentation du plan de surveillance au Comité de la confidentialité et des mesures législatives.
• Directeur, Services d'accès et de contrôle des données – octobre 2010

Annexes

Annexe A : Critères de vérification

1.1. L'environnement multipartite de conformité de la confidentialité des APD est approprié et efficace et satisfait aux critères de Service axé sur les citoyens SAC 1, SAC 3, SAC 4 et de Gérance GE 22 du CGR.

1.2. Les pratiques multipartites d'évaluation des risques en matière de conformité de la confidentialité des APD sont appropriées et efficaces et satisfont aux critères de Service axé sur les citoyens SAC 1, SAC 3, SAC 4 et de Gérance GE 22 du CGR.

1.3. Les pratiques multipartites de planification du contrôle et de présentation de rapports sur la conformité de la confidentialité des APD sont appropriées et efficaces et satisfont aux critères de Service axé sur les citoyens SAC 1, SAC 3, SAC 4 et de Gérance GE 22 du CGR.

1.4. Les pratiques multipartites d'information et de communication en matière de conformité de la confidentialité des APD sont appropriées et efficaces et satisfont aux critères de Service axé sur les citoyens SAC 1, SAC 3, SAC 4 et de Gérance GE 22 du CGR.

1.5. Les pratiques multipartites de surveillance de la conformité de la confidentialité des APD sont appropriées et efficaces et satisfont aux critères de Service axé sur les citoyens SAC 1, SAC 3, SAC 4 et de Gérance GE 22 du CGR.

2.1. La gestion générale des droits liés au consentement et à l'information des APD par toutes les parties à un APD pendant son cycle de vie est conforme aux lois et politiques pertinentes ainsi qu'aux lignes directrices connexes et satisfait aux critères de Valeurs de la fonction publique VFP 1 à 4 et de Gérance GE 22.

2.2. La gestion générale de la protection de la confidentialité par toutes les parties à un APD pendant son cycle de vie est conforme à la Loi sur la statistique, à la Politique sur la sécurité du gouvernement du Canada, à la Politique sur la sécurité des renseignements statistiques de nature délicate de Statistique Canada, à la Politique sur la sécurité des TI et aux lignes directrices connexes, ainsi qu'aux critères de Valeurs de la fonction publique VFP 1 à 4 et de Gérance GE 22 du CGR.

2.3. La gestion générale de la protection de la confidentialité propre à un APD par toutes les parties à cet APD pendant son cycle de vie est réalisée conformément aux modalités de l'accord et aux critères des Valeurs de la fonction publique VFP 1 à 4 et de Gérance GE 22 du CGR.

Annexe B : Nombre cumulatif d'accords de partage de données formels actifs de Statistique Canada à la fin de 2008

Annexe B : Nombre cumulatif d'accords de partage de données formels actifs de Statistique Canada à la fin de 2008

Juridiction	Article
	11	12	12+
Fédéral	0	113	6
Terre-Neuve	2	23	0
île-du-Prince-Édouard	0	25	0
Nouvelle-Écosse	1	23	0
Nouveau-Brunswick	1	23	0
Québec	5	30	0
Ontario	1	27	0
Manitoba	7	29	0
Saskatchewan	1	23	2
Alberta	1	30	2
Colombie-Britannique	1	28	0
Territoire du Yukon	1	13	0
Territoires du Nord-Ouest	0	13	0
Nunavut	0	4	0
Divers	0	65	0
Total	21	469	10

Annexe C : Glossaire

Le Cadre de contrôle de gestion de la confidentialité des APD (CCG) – permet à Statistique Canada et aux partenaires des APD de s'organiser afin de diffuser, de coordonner et de gérer les risques de divulgation de données confidentielles liés aux processus de partage de données ainsi que de garantir la conformité aux lois et politiques pertinentes.

Cycle de vie de l'APD – Période allant du début jusqu'à la fin des activités pour le projet d'APD; subdivisé en quatre stades :

1. Conception et négociation de l'APD – la période du début des communications entre les partenaires de l'APD et le projet d'APD éventuel et la signature de l'accord.
2. Mise en œuvre de l'APD – activités de collecte des données et transmission des données.
3. Contrôle de l'APD – contrôle de la conformité des partenaires de l'APD aux modalités de l'accord; suivi des modifications des conditions, etc. Comprend les communications avec les parties participant au Cadre de contrôle de gestion, les évaluations, les inspections, les examens de divers contrôle, etc.
4. Modification/résiliation de l'APD – la période allant du début des communications entre les partenaires de l'APD aux modifications de l'état de l'accord jusqu'à sa révision ou sa résiliation.

Contrôle de gestion – Toute mesure prise par la direction et d'autres parties pour gérer les risques et accroître la probabilité d'atteindre les objectifs et buts établis. La direction planifie, organise et dirige l'exécution de mesures suffisantes pour fournir une assurance raisonnable que les objectifs et buts seront atteints.

IRE – Information des répondants aux enquêtes, politique de Statistique Canada et processus et mécanismes connexes.

EVFP – Évaluation des facteurs relatifs à la vie privée, politique de Statistique Canada et processus et mécanismes connexes.

Notes: