Audit du Centre de données de recherche (CDR)
Université McMaster

Environnement de contrôle

Le mandat des CDR est de promouvoir et de faciliter les travaux de recherche en sciences sociales, à partir des microdonnées confidentielles de Statistique Canada, tout en protégeant la confidentialité des données, grâce à des procédures et des politiques opérationnelles et analytiques efficaces qui créent une culture de la confidentialité.

Dans le cas du Programme des CDR globalement, l'audit a révélé que la responsabilité fonctionnelle est officiellement déléguée au gestionnaire/directeur du Programme des CDR. Au niveau régional, la responsabilité fonctionnelle revient au gestionnaire régional de CDR et le contrôle au quotidien de l'environnement et de la sécurité matérielle dans le CDR est du ressort des analystes de CDR. Ces derniers administrent le fonctionnement du Centre de données de recherche et s'assurent que les activités sont conformes au mandat de Statistique Canada.

Parmi les contrôles de gestion clés servant à assurer la confidentialité des données dans les CDR figure le statut de « personne réputée être employée », que chaque chercheur doit obtenir avant d'accéder au CDR. Chaque chercheur doit avoir un projet approuvé et doit subir une vérification de sécurité et prêter serment en vertu de la Loi sur la statistique. Une fois le serment prêté, il lie le chercheur pour la vie et celui-ci fait l'objet des mêmes sanctions que les employés de Statistique Canada en vertu de la Loi sur la statistique. Par ailleurs, les chercheurs doivent participer à une séance d'orientation, où sont énoncées les règles des CDR et les responsabilités des chercheurs en ce qui a trait à la confidentialité des données.

Le CDR de McMaster compte un analyste de CDR à temps plein, deux analystes de CDR à temps partiel et un adjoint statistique. Le gestionnaire régional responsable du CDR de McMaster se trouve au CDR de l'Université Western. Tous les analystes de CDR relèvent du gestionnaire régional, et l'adjoint statistique du CDR de McMaster relève de l'analyste de CDR à temps plein.

Les CDR sont gérés par des analystes de CDR, qui sont des employés de Statistique Canada et non pas des employés de l'université. Ce modèle organisationnel fait en sorte que les activités des installations sont conformes au mandat et aux politiques de Statistique Canada, afin d'assurer la sécurité du centre et la confidentialité des données qui y sont conservées. Dans la documentation du CDR, on note que

« l'analyste de CDR est la principale personne qui représente les intérêts de Statistique Canada dans le centre. Ainsi, l'analyste a des responsabilités particulières qui visent à assurer le bon fonctionnement du CDR, ainsi qu'à garantir le respect des critères de confidentialité et de sécurité par tous ceux qui accèdent au centre ».

Par ailleurs, dans le rapport de gestion annuel du Programme des CDR au Canada, on souligne qu'il est

« important pour les analystes de CDR d'avoir des rapports d'égal à égal avec les chercheurs qui travaillent dans leurs centres »

et que le personnel du CDR

« conserve au minimum, voire améliore, ses compétences en recherche ».

Au CDR de l'Université McMaster, les analystes de CDR sont aussi des chercheurs qui ont une expertise en analyse de données et en techniques statistiques et qui sont étroitement liés à la collectivité des chercheurs qui utilisent le CDR. Tous les analystes de CDR à l'Université McMaster ont un diplôme d'études supérieures, et trois des quatre employés de Statistique Canada effectuent aussi des recherches au CDR. Ce niveau de connaissances assure le maintien de l'expertise de recherche et facilite la recherche menée au centre.

Par conséquent, on s'attend à ce que les analystes de CDR jouent un rôle double, et parfois conflictuel, à l'intérieur du CDR. Comme les employés de Statistique Canada, leur rôle principal est de faire respecter les critères de confidentialité et de sécurité. Par suite des entrevues avec le personnel du CDR et des observations pendant la visite sur place, l'équipe d'audit a noté que les analystes de CDR mettent principalement l'accent sur la consultation avec les chercheurs concernant les techniques de recherche et les résultats, plutôt que sur le contrôle des activités permanentes du centre. Les employés du CDR ont indiqué que les chercheurs sont des professionnels et que, comme ils souhaitent avoir des rapports collégiaux et promouvoir le centre, ils n'ont pas comme rôle de contrôler les activités de chercheurs dans l'installation de McMaster. Ce point de vue entre en contradiction avec les attentes des gestionnaires de Statistique Canada en ce qui a trait aux CDR et contribue probablement à plusieurs des observations qui suivent.

Vulnérabilités

L'équipe d'audit a noté des faiblesses possibles au chapitre du contrôle pendant la visite sur place au CDR de l'Université McMaster. Isolément, ces éléments ne devraient pas présenter de risque important pour la confidentialité des données conservées dans les CDR. Toutefois, lorsqu'ils sont évalués dans l'environnement d'exploitation courant de l'installation, le risque pour la confidentialité des données est accru.

Tous les travaux d'impression effectués par les chercheurs doivent être examinés par le personnel du CDR, afin de veiller à ce qu'aucune donnée confidentielle ne sorte de l'installation. Les demandes d'impression des chercheurs sont dirigées à l'imprimante de réseau, qui est située dans la zone des postes de travail des chercheurs. On utilise du papier de couleur verte pour l'impression, et les chercheurs peuvent imprimer directement à partir de leur poste de travail et ont accès aux fournitures d'imprimerie. Des procédures documentées à l'intention des chercheurs stipulent que l'impression devrait se faire au moyen de l'imprimante de réseau sous le contrôle de l'analyste de CDR. Les chercheurs doivent remettre tous les documents imprimés sur du papier vert; toutefois, au CDR de l'Université McMaster, l'impression par les chercheurs ne fait pas l'objet d'un contrôle actif par les employés du CDR.

Par ailleurs, selon les exigences du CDR, les notes manuscrites prises par les chercheurs pendant qu'ils sont au CDR doivent faire l'objet des mêmes règlements et exigences en matière de confidentialité que les produits d'analyse et ne devraient pas être sorties sans avoir été vérifiées par le personnel du CDR. L'audit a permis d'observer que les chercheurs prennent des notes et quittent l'installation sans les faire vérifier.

Dans la documentation du CDR, il est noté que les mesures de sécurité mises en œuvre dans les CDR doivent être évidentes et doivent être considérées comme protégeant les données des centres. Par exemple, les CDR ne peuvent pas être laissés sans surveillance. Selon la documentation,

« pour qu'un CDR soit ouvert, il faut qu'un employé de Statistique Canada et non une « personne réputée être employée » soit sur les lieux ».

Au CDR de McMaster, le personnel a indiqué que les chercheurs sont laissés sans surveillance dans le centre, pendant de courtes périodes.

Au cours de l'audit de 2012 du CDR de l'Université de l'Alberta, on a noté que la documentation relative à l'utilisation des dispositifs électroniques dans les CDR n'était pas uniforme. L'audit a recommandé que les politiques et directives concernant l'utilisation de téléphones cellulaires et d'autres dispositifs électroniques dans les CDR soient cohérentes et définissent clairement les pratiques approuvées. Cela a été mis en œuvre, et toute la documentation est uniforme et énonce que les chercheurs peuvent entrer des dispositifs électroniques dans le centre, mais qu'ils ne doivent pas s'en servir à proximité des postes de travail. Au CDR de McMaster, on a accès au WIFI et on peut l'utiliser avec des appareils électroniques; toutefois, il n'est pas disponible dans les postes de travail de chercheurs. Étant donné que le CDR de l'Université McMaster est une installation occupée, et que les activités des chercheurs ne sont pas activement contrôlées, l'accès au WIFI peut faire augmenter le risque pour la confidentialité des données du centre.

L'audit a révélé que l'environnement de contrôle du CDR de McMaster a été modifié pour mettre l'accent principalement sur l'enseignement et la recherche facilitée dans l'installation. Le personnel du CDR met l'accent sur des rapports d'égal à égal avec les chercheurs et ne comprend pas pleinement son rôle principal de protection des intérêts de Statistique Canada, et n'applique pas non plus la rigueur nécessaire pour contrôler les activités. Les vulnérabilités notées par l'équipe d'audit, outre l'absence de contrôle dans le centre, font augmenter le risque pour la confidentialité des données. En l'absence d'un contrôle actif par les employés du CDR, il est peu probable que les incidents possibles au chapitre de la confidentialité soient détectés ou fassent l'objet d'un rapport par la suite.

Sécurité matérielle

Les mesures d'aménagement et de sécurité matérielle requises dans les CDR visent à aider à assurer la sécurité des données conservées dans l'installation. Ces mesures devraient être conformes aux politiques pertinentes du SCT, comme la Politique sur la sécurité du gouvernement (PSG) et le Manuel des pratiques de sécurité de Statistique Canada. Dans le contexte des CDR, la sécurité matérielle devrait inclure des contrôles concernant le périmètre et la détection des intrusions, l'accès matériel et des contrôles matériels particuliers de l'emplacement.

Contrôles de sécurité du périmètre et de détection des intrusions

Le CDR est situé au deuxième étage de la bibliothèque Mills de l'Université McMaster. Il a été construit en conformité avec les exigences pertinentes de Statistique Canada concernant la sécurité du périmètre pour les « étages partagés », c'est-à-dire les murs entourant le CDR proprement dit, qui doivent être des murs de brique ou des murs portants, ou encore les fenêtres givrées et insonorisées (c.-à-d. des fenêtres essentiellement étanches au bruit, ne permettant que d'entendre des murmures et faisant en sorte que les conversations tenues à l'intérieur de l'installation ne puissent être entendues à l'extérieur du CDR proprement dit).

Le document de procédures concernant l'ouverture des CDR et des antennes fait état des caractéristiques considérées comme les plus importantes pour la sécurité. On mentionne que

« la protection matérielle des écrans doit être assurée, c'est-à-dire qu'il ne doit pas être possible de voir directement les écrans d'un poste de travail à l'autre ».

Au CDR de McMaster, l'aménagement des postes de travail prend la forme de postes de travail installés sur de longues tables dont il est possible de voir directement les écrans.

Les responsables de la sécurité du campus assurent un contrôle 24 heures sur 24 et sept jours sur sept des installations du CDR. Ces responsables ont une carte d'accès et un code de sécurité pour le système d'alarme. Le CDR de McMaster comporte des détecteurs de mouvement et des détecteurs de bris de vitre dans les fenêtres. Le système de détection est activé lorsque le CDR est fermé. En outre, le CDR est doté d'un bouton d'alarme qui informe la sécurité du campus des incidents pendant les heures ouvrables. À l'extérieur des heures ouvrables, si l'alarme du détecteur de mouvement est déclenchée, les responsables de la sécurité du campus en sont informés à titre de premiers répondants. Le directeur universitaire et l'analyste de CDR sont aussi informés.

Contrôles de la sécurité de l'accès

L'accès au CDR de l'Université McMaster se fait par une porte d'entrée simple en acier. La poignée de porte comporte un verrou. Le CDR est aussi doté d'un système d'alarme et de détecteurs de mouvement, qui sont fonctionnels et qui protègent l'installation en dehors des heures ouvrables. L'entrée dans le CDR de McMaster est limitée aux personnes autorisées seulement. Le personnel du CDR et les responsables de la sécurité du campus ont des clés pour entrer dans l'installation. Tous les autres utilisateurs qui doivent accéder à l'installation sont dotés d'une carte d'accès générique programmée pour leur utilisation, qui doit être remise à l'analyste de CDR à temps plein une fois le contrat terminé.

Selon les lignes directrices du CDR et de Statistique Canada, les CDR doivent comporter des portes en acier munies d'un pêne dormant hautement sécuritaire comportant une saillie d'un pouce. Il s'agit d'une exigence permanente pour les CDR. L'audit a permis de déterminer que le CDR de McMaster n'est pas muni d'un pêne dormant hautement sécuritaire, et cela a été noté comme une lacune dans l'inspection matérielle de 2011 menée par la Sécurité du Bureau.

Les CDR doivent contrôler tous les accès, afin d'assurer la sécurité matérielle du centre. Au CDR de McMaster, un système d'accès avec carte à bande magnétique, c'est-à-dire une carte d'identité renfermant des données électroniques permettant d'identifier le détenteur, est en place afin de contrôler l'accès. Le système enregistre toutes les entrées et sorties, et le personnel du CDR peut obtenir ces registres d'accès au besoin. Les visiteurs non autorisés ne peuvent pas aller au-delà de la porte d'entrée simple de l'installation de CDR. L'équipe d'audit a examiné les registres d'accès pour les quatre jours pendant lesquels les auditeurs étaient sur place dans l'installation. Même si les entrées et les sorties du personnel du CDR et de l'université sont enregistrées, ainsi que celles de chercheurs, l'audit a mentionné que les entrées ou les sorties d'un chercheur en particulier observées dans le centre plusieurs fois pendant la période examinée n'étaient pas enregistrées, et que les entrées ou les sorties des membres de l'équipe d'audit utilisant la carte de visiteur qui leur avait été remise n'ont pas été enregistrées non plus.

Il existe un deuxième contrôle dans tous les CDR, à savoir un registre à signer par les visiteurs. Le protocole s'appliquant aux visiteurs d'un CDR souligne que les visites de personnes qui ne sont pas des « personnes réputées être employées » doivent être planifiées au préalable, et qu'un registre incluant la date, l'heure, le nom du visiteur, le nom de l'employé accompagnant le visiteur et la raison de la visite doit être conservé pour toutes ces visites. Le registre doit être conservé et disponible aux fins de l'audit pendant au moins un an après une entrée. Même si une feuille à signer par les visiteurs se trouvait à l'intérieur de la porte d'entrée du CDR de l'Université McMaster, les entrevues avec le personnel du CDR et l'examen des registres ont montré qu'elle n'est pas utilisée.

Autres contrôles de la sécurité matérielle

Afin d'aider à assurer la sécurité du CDR, les fils utilisés pour les TI doivent passer dans des conduits sécuritaires à l'intérieur des murs et des plafonds. L'équipe d'audit a noté que cette mesure est en place au CDR de l'Université McMaster. Il y a une salle de serveur sécurisée, qui est toujours verrouillée, ainsi que des armoires verrouillées pour l'entreposage des disques compacts et des fichiers archivés des chercheurs, afin de protéger les données confidentielles, classifiées et protégées. L'accès au réseau B est disponible uniquement dans les bureaux des analystes de CDR. Il y a une salle de conférence distincte dotée d'un poste de travail dans l'installation, à l'intention des chercheurs et du personnel du CDR. L'imprimante/le télécopieur/le scanneur est réservé à l'usage du personnel du CDR et se trouve dans le bureau de l'analyste de CDR. L'imprimante de réseau utilisée par les chercheurs est installée dans la zone de travail, et les chercheurs peuvent imprimer des documents au besoin.

Inspections de la sécurité matérielle par la Sécurité du Bureau

La Sécurité du Bureau au bureau central de Statistique Canada fournit une orientation et des directives en matière de sécurité matérielle. Des inspections sont menées au moment de l'ouverture initiale, et les gestionnaires de Statistique Canada ont récemment déterminé que les inspections du CDR devraient avoir lieu tous les quatre ans. Le personnel de la Sécurité du Bureau procède aux inspections matérielles et fournit des recommandations aux gestionnaires régionaux de CDR et au personnel du bureau central. La dernière inspection de la sécurité matérielle du CDR de l'Université McMaster a été menée en décembre 2011. Par suite de cette inspection, plusieurs recommandations ont été notées, y compris les suivantes : installation d'un pêne dormant hautement sécuritaire sur la porte d'entrée en acier; givrage des fenêtres de la salle de conférence, qui fait face aux postes de travail des chercheurs; examen trimestriel des cartes d'accès; et meilleure signalisation dans le centre.

Même si l'audit a fourni des preuves de discussions entre les analystes de CDR, les gestionnaires régionaux et les gestionnaires de la Division de l'accès aux microdonnées concernant les recommandations d'inspection, il n'y avait pas de preuve de réponse officielle à la Sécurité du Bureau. Une meilleure signalisation a été mise en place; toutefois, les recommandations relatives aux examens plus fréquents de l'accès au moyen de cartes, au pêne dormant hautement sécuritaire et au givrage des fenêtres n'ont pas été mises en œuvre. Le personnel du CDR n'a pas pu expliquer clairement si la mise en œuvre des recommandations d'inspection de sécurité était obligatoire.

Recommandations :

Il est recommandé que le statisticien en chef adjoint, Statistique sociale, de la santé et du travail, s'assure que :

• le personnel du CDR de l'Université McMaster comprend et assume le rôle de contrôle actif de l'environnement d'exploitation et des activités des chercheurs dans l'installation, afin de s'assurer qu'ils respectent les exigences et les lignes directrices en matière de sécurité du CDR, de Statistique Canada et du SCT;
• des documents de procédures liées à l'ouverture et à l'exploitation des CDR et des antennes sont précisés, afin de déterminer ce qui est considéré comme une exigence obligatoire pour l'aménagement physique des postes de travail des chercheurs, en vue de fournir un environnement de contrôle matériel efficace;
• les recommandations de la Sécurité du Bureau concernant l'inspection matérielle menée par ce dernier en décembre 2011 font l'objet d'un suivi officiel et que les exigences obligatoires sont mises en œuvre rapidement;
• les registres d'entrées automatisés sont validés, afin de veiller à ce qu'ils soient efficaces et qu'ils enregistrent les accès au CDR et que des registres de visiteurs soient mis en place et utilisés au besoin.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le directeur de la DAM définira plus précisément ce que signifie le « contrôle actif » pour les analystes et fournira des exemples concrets.
  
  Produits livrables et échéance : Communiqué à tous les employés concernant les ententes de « contrôle actif ». Des discussions de suivi auront lieu dans le cadre des réunions régionales. Cette activité sera terminée d'ici décembre 2013.
• Le directeur de la DAM s'assurera que des niveaux de dotation appropriés sont en place, selon la charge de travail, afin de laisser suffisamment de temps pour le contrôle actif.
  
  Produits livrables et échéance : Revoir la question du niveau de dotation avec le directeur universitaire de l'Université McMaster, par suite de l'examen annuel des niveaux de dotation de cette année. Cette activité sera terminée d'ici janvier 2014.
• Le directeur de la DAM passera en revue les exigences pour l'aménagement matériel des postes de travail, et recommandera l'utilisation d'écrans de veille, plutôt que de cloisons entre les postes de travail, lorsque cela est raisonnable.
  
  Produits livrables et échéance : Un modèle de document d'approbation est en place. Cette activité sera terminée d'ici novembre 2013.
• Le directeur de la DAM négociera avec les responsables de la Sécurité matérielle et de la Sécurité des TI pour élaborer un document d'approbation pour toutes les inspections de CDR et pour obtenir les rapports d'inspection plus rapidement. Ce formulaire exigera des responsables de la Sécurité matérielle et de la Sécurité des TI qu'ils approuvent chaque mesure recommandée, puis qu'ils fournissent une approbation finale, une fois toutes les exigences respectées.
  
  Produits livrables et échéance : Modèle de document d'approbation. Cette activité est terminée.
• Le directeur de la DAM s'assurera qu'on procède à un examen de tous les registres automatisés des entrées dans tous les CDR. Grâce aux réunions régionales, nous nous assurerons que tous les employés de CDR passent en revue les exigences relatives à l'utilisation des registres de visiteurs.
  
  Produits livrables et échéance : Déterminer les problèmes concernant les autres registres automatisés des entrées et établir un plan d'action avec les universités pour les corriger. Cette activité sera terminée d'ici mars 2014.

Procédures de traitement des contrats

Les CDR sont régis par les dispositions de la Loi sur la statistique, en conformité avec toutes les règles de confidentialité. Ce mode d'accès est approprié lorsque le chercheur ne peut trouver de réponse à une question de recherche qu'en procédant à une analyse statistique inférentielle des microdonnées confidentielles. En outre, le chercheur doit être disposé à devenir une « personne réputée être employée » de Statistique Canada, ainsi qu'à effectuer l'analyse des données dans le laboratoire informatique protégé du CDR.^{Footnote 1}

Conformément à la Politique sur l'utilisation de personnes réputées être employées révisée en août 2007, les chercheurs qui souhaitent accéder à un CDR doivent devenir des « personnes réputées être employées » et faire l'objet d'une enquête de sécurité en vertu des paragraphes 5(2) et 5(3) de la Loi sur la statistique, et prêter serment ou affirmation d'office et de discrétion en vertu du paragraphe 6(1) de la Loi sur la statistique. Ils doivent aussi signer une attestation qu'ils ont lu et compris le Code de valeurs et d'éthique de la fonction publique de Statistique Canada. Ces étapes doivent être franchies avant que Statistique Canada ne signe le CRM. Une fois que le chercheur satisfait à ces exigences et qu'il a assisté à une séance d'orientation, il est officiellement une « personne réputée être employée » de Statistique Canada. Les chercheurs des CDR et les autres personnes réputées être employées doivent réaffirmer leur serment de discrétion dans le deux cas suivants : 1) lorsqu'un chercheur souhaite avoir de nouveau accès aux données, alors qu'il ne détient aucun contrat actif depuis un an ou plus, ou 2) lorsque la cote de sécurité arrive à expiration.

Dans le cadre de l'audit, on a vérifié si toute la documentation requise était en place et valide pour 40 chercheurs associés à 24 contrats échantillonnés. L'essai a révélé que des autorisations de sécurité valides et des affirmations d'office et de discrétion avaient été signées par tous les chercheurs. Dans le cadre de la vérification permettant de déterminer si les chercheurs avaient pris connaissance du Code de valeurs et d'éthique de la fonction publique, on a déterminé que parmi les 40 chercheurs associés aux contrats échantillonnés, 33 avaient signé un document d'attestation dont une copie était archivée. Dans le cas de 7 autres chercheurs, il n'y avait pas de copie signée d'attestation archivée, en dépit du fait que ces 7 chercheurs avaient des contrats dont la date était postérieure à août 2007, date à laquelle cette exigence a été établie. Ces chercheurs avaient toutefois apposé leurs initiales dans la section sur les conflits d'intérêt du CRM, en indiquant qu'ils auraient une conduite conforme aux principes et à l'esprit du Code de valeurs et d'éthique s'appliquant aux personnes réputées être employées.

Le contrat de recherche pour l'utilisation de microdonnées est également signé par Statistique Canada, soit par le gestionnaire du Programme des CDR (ou son représentant délégué), ou par le directeur de la division chargée de l'enquête. Sur réception de cette signature, le chercheur peut ensuite avoir accès à des microdonnées confidentielles approuvées pour son projet et commencer l'analyse des données au CDR. L'audit a révélé que des contrats avaient été signés par le responsable compétent à Statistique Canada.

Dans le cadre de l'audit, on a vérifié la conformité aux procédures de traitement des contrats, grâce à l'examen d'un échantillon de 21 contrats en vigueur et terminés associés au CDR de McMaster. L'audit a révélé que pour un des contrats actifs sélectionnés, il y avait eu une erreur de classification et que le contrat était conservé au CDR de Guelph. Un autre contrat était associé à un employé spécialisé de Statistique Canada travaillant au CDR de McMaster. Tous les contrôles de confidentialité et approbations se sont faits au bureau central et n'étaient pas conservés dans le CDR. Pour les 19 contrats qui restent, des propositions, descriptions de projet ou descriptions de cours étaient en place. Les évaluations de proposition se trouvaient dans les dossiers du CDR de McMaster, sauf dans le cas de trois contrats. Pour ces contrats, les évaluations associées à l'Enquête sur la dynamique du travail et du revenu (EDTR) ne figuraient pas dans les fichiers électroniques du CDR. Ces données ont été retrouvées dans un fichier du bureau central, et une des évaluations comportait un rejet de la demande d'accès aux données. Cela n'apparaissait pas dans le CRM final, et l'équipe d'audit a déterminé, pendant la vérification des codes d'utilisateur, que cinq chercheurs associés à ce CRM avaient eu accès à cet ensemble de données, même si la demande avait été rejetée. La Division de l'audit interne a informé le gestionnaire du CDR au bureau central du problème et a été informée par la suite que les privilèges d'accès à l'ensemble de microdonnées en question avaient été révoqués et que le personnel du CDR s'étaient assurés que les chercheurs n'avaient pas eu accès à ces données.

Des procédures de traitement des contrats sont en place dans le Programme des CDR, mais elles devraient être améliorées pour veiller à ce que les chercheurs ayant des contrats en vigueur remplissent toutes les attestations et affirmations requises. Par ailleurs, les résultats des évaluations proposées associées aux CRM devraient être classés et validés en fonction des CRM, afin de veiller à ce que les chercheurs n'aient accès qu'aux ensembles de données approuvés.

Contrôle de confidentialité

Les CDR sont les dépositaires des fichiers de microdonnées de Statistique Canada, qui sont accessibles pour les chercheurs dont les projets sont approuvés. Des processus et des procédures efficaces et appropriées pour le contrôle de confidentialité devraient être en place et appliqués, afin de réduire de façon significative les risques de divulgation non désirée. Le contrôle de confidentialité doit être administré soigneusement par l'analyste du CDR, conformément aux protocoles établis, afin de veiller à ce que la confidentialité des données ne soit pas compromise.

Le contrôle de confidentialité est le processus de filtrage des produits de recherche, de fichiers de syntaxe ou de documents se rapportant aux données confidentielles pour évaluer le risque de divulgation non autorisée. Pour ce faire, on tente de déterminer s'il est possible d'inférer ou de déduire des données d'identification évidentes de cas individuels ou des renseignements concernant des cas individuels, à partir des produits statistiques.

Rôles et responsabilités

La documentation souligne que la première responsabilité de l'analyste du CDR lorsqu'il procède à un contrôle de confidentialité consiste à s'assurer que des renseignements confidentiels ne sont pas divulgués dans les résultats de recherche qui sortiront du CDR. L'analyste examine tous les documents que le chercheur souhaite sortir du CDR; la responsabilité finale et la décision de sortir du CDR les résultats des analyses lui reviennent. Au CDR de McMaster, la majorité du contrôle de confidentialité est assurée par un des analystes à temps partiel du CDR. Cet analyste travaille deux jours au CDR de McMaster (et trois autres jours dans un CDR différent en Ontario). Ce même analyste travaille au Programme des CDR depuis plusieurs années et, outre qu'il a des CRM actifs, comprend les exigences relatives aux données et à la confidentialité de Statistique Canada.

Le contrôle de confidentialité se fait au moyen des lignes directrices propres aux enquêtes pour toutes les enquêtes auxquelles les CDR donnent accès. Les questions ou préoccupations concernant le processus de contrôle de confidentialité ou les techniques statistiques sont réglées par le gestionnaire régional des CDR ou par le Comité de contrôle de confidentialité du CDR.

Au cours de la séance d'orientation, les chercheurs reçoivent de la formation relative au processus de contrôle de confidentialité, ainsi que la documentation requise pour les demandes de contrôle. Cette documentation comprend des descriptions des variables, des nombres pondérés et non pondérés, une syntaxe et un formulaire de demande de divulgation pour chaque demande de produit.

Processus et procédures

Une ébauche de document détaillé intitulé Règles de contrôle de divulgation pour les produits de données d'enquête dans les CDR comprend des instructions sur la façon de procéder au contrôle de confidentialité. Des lignes directrices sur l'analyse des risques de divulgation pour les divers types de données et produits descriptifs ou tabulaires, ainsi que des matrices de variance-covariance et de corrélation, des graphiques, des modèles et un exemple de « formulaire de demande de divulgation », sont aussi inclus.

Les lignes directrices et les processus en matière de contrôle de confidentialité sont énoncés dans le Guide à l'intention des chercheurs. Une partie importante du processus consiste pour les chercheurs à remplir le « Formulaire de demande de contrôle » de confidentialité (anciennement le « Formulaire de demande d'analyse de divulgation »), dans lequel ils doivent fournir les renseignements nécessaires à l'analyste pour effectuer un contrôle de confidentialité et consigner la démarche effectuée. Les données requises du chercheur comprennent les suivantes :

• le nom du fichier de sortie, l'enquête et les cycles utilisés;
• les caractéristiques de la population analysée;
• la méthode statistique et les poids utilisés;
• une description des variables;
• des produits pondérés et non pondérés.

Une fois le contrôle de confidentialité complet, les produits considérés comme non confidentiels sont communiqués au chercheur.

Dans le cadre de l'audit, on a vérifié 19 contrats en vigueur et terminés, afin de s'assurer que le contrôle de confidentialité était assuré et approprié. Parmi les 19 contrats en vigueur et terminés, aucune donnée n'avait été soumise pour le contrôle de confidentialité de 7 contrats. Parmi les 12 contrats en vigueur et terminés qui restent, pour lesquels il fallait procéder à un contrôle de confidentialité, l'audit a trouvé des preuves qu'un tel contrôle avait eu lieu. Toutefois, on n'a pas trouvé de formulaires de contrôle de confidentialité remplis dans les dossiers. L'analyste de CDR a noté que, même si les chercheurs soumettent ces formulaires avec les demandes de contrôle, une fois que l'analyste a terminé le contrôle, les formulaires sont supprimés ou déchiquetés et ne sont pas conservés dans les dossiers. Étant donné que chaque demande de contrôle subséquente dépend des données contrôlées précédemment, l'absence de formulaires de contrôle remplis fait en sorte qu'il est inefficace et difficile pour l'analyste de déterminer facilement ce qui a été contrôlé précédemment. Par ailleurs, si un autre analyste de CDR prend en charge la tâche de contrôle de confidentialité, il lui faudra du temps pour retracer ce qui a été contrôlé. Même si les formulaires de contrôle n'avaient pas été remplis, l'équipe d'audit a pu déterminer, à partir des produits soumis et d'autres documents (comme la syntaxe et les listes de variables), que parmi les 12 contrats nécessitant un contrôle de confidentialité des produits, un tel contrôle a été effectué et était approprié. Des dossiers « à contrôler » comprenaient des fichiers de syntaxe, ainsi que des produits pondérés et non pondérés et des données contrôlées précédemment (au besoin). L'audit a révélé que les dossiers contrôlés connexes comprenaient des preuves à l'appui de l'exécution d'un contrôle de confidentialité pour les 12 contrats, y compris une vérification des fréquences par cellule, l'élimination des produits non pondérés et la suppression des produits pondérés lorsque la confidentialité risquait d'être compromise.

L'audit a révélé qu'un contrôle de confidentialité était assuré. Les formulaires de demande de contrôle de confidentialité remplis sont supprimés une fois la demande terminée, ce qui rend les contrôles subséquents associés à ce projet inefficaces et plus difficiles à retracer.

Recommandations

Il est recommandé que le statisticien en chef adjoint, Statistique sociale, de la santé et du travail, s'assure que :

• lorsque des CRM sont créés, mis à jour, révisés ou prolongés, le personnel du CDR confirme que les chercheurs respectent toutes les exigences relatives à la sécurité, à la confidentialité, aux conflits d'intérêts et au code de valeurs et d'éthique qui sont en place au moment du nouveau contrat ou du contrat mis à jour;
• les résultats des évaluations de propositions sont conservés et validés par rapport aux CRM finaux, afin de veiller à ce que l'accès aux microdonnées confidentielles soit limité aux chercheurs dont les demandes d'accès aux données ont été approuvées;
• les formulaires de demande de contrôle de confidentialité remplis soumis avec les produits à contrôler sont conservés pour référence future.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le directeur de la DAM a collaboré avec la DGI pour réviser nos contrats de recherche pour l'utilisation de microdonnées (CRM), afin de réduire le nombre de formulaires multiples comportant des signatures de plusieurs chercheurs. Le nouveau CRM est presque prêt et servira de norme pour le CDRE, le CFDR et les CDR. Cela permettra de préciser quelles sont les signatures requises.
  
  Produits livrables et échéance : Nouveau contrat de recherche pour l'utilisation de microdonnées. Cette activité sera terminée d'ici janvier 2014.
• Le directeur de la DAM mettra en œuvre une nouvelle procédure pour s'assurer que les ensembles de données dont l'accès n'a pas été approuvé à l'intérieur d'un projet approuvé plus large soient mieux identifiés à l'intention des analystes.
  
  Produits livrables et échéance :Nouvelle procédure documentée et mise en œuvre. Cette activité sera terminée en novembre 2013.
• Le directeur de la DAM souligne que des formulaires remplis sont déjà conservés avec chaque projet, mais l'endroit où ils le sont n'est pas uniforme. Nous établirons un lieu uniforme où tous les analystes pourront conserver les formulaires de demande de contrôle.
  
  Produits livrables et échéance : Nouvelle procédure documentée et mise en œuvre. Cette activité sera terminée en mars 2014.