Audit des accords de partage de données avec le ministère de la Santé de la Saskatchewan

Les pouvoirs sont définis

Statistique Canada exerce son mandat qui consiste à conclure des accords de partage de données statistiques avec d'autres organisations aux termes des articles 11 et 12 de la Loi sur la statistique.Les données statistiques tirées d'enquêtes sur la santé qui sont transmises au Ministère l'aident à élaborer ses politiques, à évaluer ses programmes en vue d'améliorer la santé de la population et l'efficience des services de santé, ainsi qu'à soutenir la recherche démographique et épidémiologique.

Les rôles et responsabilités liés aux exigences en matière d'élaboration, de mise en œuvre et de surveillance des APD sont énoncés dans la Directive sur le partage des données en vertu des articles 11 et 12. Cette directive précise que la Division de la gestion de l'information (DGI), de concert avec les Services juridiques, rédige les accords de partage de données à la demande des directeurs des programmes statistiques. La DGI doit également fournir le soutien nécessaire aux gestionnaires au moment de l'élaboration de nouveaux accords de partage de données ou d'accords modifiés avec les destinataires, en application de l'article 12 de la Loi sur la statistique. Les divisions spécialisées sont chargées de communiquer avec les organisations destinataires durant les négociations et la rédaction des accords.

Les responsabilités et la reddition de compte au sein de la Division de la statistique de la santé doivent être clarifiées

Statistique Canada a remplacé ses APD existants conclus avec le ministère de la Santé de la Saskatchewan (le Ministère) par des accords généraux de partage des données signés le 13 novembre 2012 et le 12 avril 2013 pour encadre la collecte et le partage de renseignements extraits de plusieurs enquêtes sur la santé.

La DSS assure la liaison entre Statistique Canada et le Ministère et assume la responsabilité de la mise en œuvre des APD. La section des Services d'accès aux données de la DSS assure la liaison entre Statistique Canada et le Ministère en ce qui concerne la négociation et la rédaction de l'accord, et supervise la transmission sécuritaire des fichiers d'enquête préparés au Ministère.

Au moment la rédaction et de la signature des nouveaux AGPD, la DSS ne savait pas que le Ministère avait transféré son groupe chargé de l'administration des entrepôts de données (qui assure la prestation de ses services d'informatique) et du regroupement de dossiers contenant des renseignements personnels sur la santé à eHealth. eHealth est une société d'État créée en 2010. La relation entre le Ministère et eHealth a été formalisée dans une entente sur les fournisseurs de services de gestion de l'information (FSGI) en avril 2011.

En novembre 2013, on a apporté une modification aux deux accords signés avec le Ministère afin d'ajouter un paragraphe additionnel (6.2.5) permettant au Ministère de partager des données avec eHealth en vertu de la Health Information Protection Act, Lois de la Saskatchewan, 1999. De 2011 à novembre 2013, le Ministère a fourni des renseignements confidentiels de Statistique Canada à eHealth, malgré le fait qu'aucune disposition dans les AGPD ne permettait un tel transfert. Le Ministère avait pris cette décision parce qu'il était tenu par la loi d'utiliser les services de eHealth pour la gestion des données et le couplage des enregistrements. eHealth assume la gestion de toutes les données sur la santé du Ministère, et en vertu de l'entente sur les FSGI, elle n'utilise pas ces données sur la santé à ses propres fins.

Il est nécessaire de renforcer les pratiques d'administration et de gestion des accords sur le partage de données à Statistique Canada

Conformément à la Directive sur les accords de partage de données en vertu des articles 11 et 12, la section des Services d'accès aux données de la DSS tient à jour un registre de contrôle des personnes-ressources indiquant la province, les coordonnées de la personne-ressource officielle et son adresse du Système de transfert électronique de fichiers (STEF), ainsi que la date de confirmation de ces renseignements. La section tient également à jour un registre de contrôle des transmissions indiquant les noms de l'enquête et du fichier correspondant, la période de référence couverte, le mot de passe, l'emplacement, le nom du destinataire, la date d'expédition et la date de réception confirmée.

L'examen du registre de contrôle des personnes-ressources a révélé qu'on indiquait seulement un « administrateur d'entrepôt de données » en tant que personne-ressource officielle et destinataire du STEF à eHealth, avec comme suppléant un autre employé du groupe chargé de l'entrepôt de données à eHealth. Le registre ne contenait aucune date permettant de confirmer à quel moment l'information avait été actualisée.

L'examen du registre de contrôle des transmissions et des interviews menées au sein de la section des Services d'accès aux données ont révélé que même après le transfert du groupe chargé de l'administration des entrepôts de données du Ministère à eHealth en 2010, la section des Services d'accès aux données ne faisait pas de distinction entre les deux organisations et par conséquent elle a continué à transmettre des renseignements confidentiels de Statistique Canada aux deux personnes-ressources figurant dans le registre de contrôle, bien que ces dernières ne soient plus des employés du Ministère, mais plutôt des employés de eHealth. En vertu des modalités des AGPD conclus avec le Ministère, les renseignements confidentiels de Statistique Canada doivent être transmis directement à l'administrateur de données désigné du Ministère.

Il faut préciser les responsabilités de l'administrateur de données stipulées dans l'APD pour la gestion des APD de Statistique Canada

Au Ministère, la responsabilité fonctionnelle de l'administration et de la gestion des renseignements confidentiels de Statistique Canada (réception, manipulation, stockage et transmission des données) incombe au directeur de la Health Information Policy and Legislation Division, Risk and Relationship Management Branch, qui est l'administrateur de données désigné pour le Ministère.

En vertu de l'accord général, l'administrateur de données doit mettre en œuvre les trois exigences clés suivantes :

Préparer un document sur la confidentialité

Conformément à l'Annexe C de l'AGPD, l'administrateur de données doit

« préparer un document à l'intention des employés et des sous-traitants de la partie destinataire dans lequel on décrit les modalités régissant l'usage des renseignements, ainsi que les procédures à respecter pour envoyer, recevoir, manipuler et stocker les renseignements (ci-après appelés le « document sur la confidentialité ») ».

Avant d'accorder un accès à des renseignements de Statistique Canada, l'administrateur de données doit s'assurer que tous les employés et sous-traitants qui doivent accéder à ces renseignements a convenu par écrit de respecter les modalités de l'APD, en reconnaissant par leur signature qu'ils ont lu et compris les modalités de l'APD telles qu'elles sont stipulées dans le document sur la confidentialité et qu'ils s'engagent à les respecter.

L'audit a constaté qu'un document sur la confidentialité a été rédigé, mais qu'il n'a pas été signé par les employés et les sous-traitants du Ministère qui ont accès à des renseignements confidentiels de Statistique Canada.

Créer un registre des fichiers de données

Il incombe à l'administrateur de données de tenir à jour un registre de tous les fichiers de données reçus de Statistique Canada, contenant les informations suivantes : date de réception, nom du fichier et période de référence, nom de l'employé qui a reçu le fichier, nom de l'employé de Statistique Canada qui a envoyé le fichier, nom de l'employé responsable de la garde du fichier, date de destruction du fichier ou de son retour à Statistique Canada.

L'audit a constaté qu'un gabarit avait été créé pour cette fonctionnalité, toutefois il a été laissé vide et ne comportait aucune liste de tous les fichiers de données reçus de Statistique Canada.

Créer un registre des accès aux fichiers de données

Il incombe à l'administrateur de données de tenir à jour un registre de toutes les personnes auxquelles on a accordé l'accès aux fichiers de données reçus de Statistique Canada par le Ministère, contenant les informations suivantes : nom du fichier et année de référence, nom de l'employé ou du sous-traitant à qui on a accordé l'accès, justification de l'accès, nom du gestionnaire délégué qui a autorisé l'accès et date de l'autorisation, dates de début et de fin de la période pendant laquelle l'accès est autorisé.

L'audit a constaté qu'un gabarit avait été créé pour cette fonctionnalité, toutefois il a été laissé vide et ne comportait aucune liste de toutes les personnes auxquelles on a accordé un accès aux fichiers de données reçus de Statistique Canada.

De plus, on a créé un document User Guidelines for Selected Survey [Lignes directrices pour les enquêtes sélectionnées] qui rappelle les modalités des APD conclus par Statistique Canada et le Ministère en matière de partage de données, d'usage des renseignements, d'accès aux renseignements, de partage avec des tierces parties, de surveillance et de respect des modalités, cependant ce document n'a jamais été diffusé.

Un contrat conclu entre le Ministère et une organisation provinciale de recherche ne comportait pas de clause d'audit comme l'exige les modalités des APD

Les clauses touchant la surveillance sont prescrites par Statistique Canada dans les AGPD. Les AGPD stipulent que Statistique Canada sera

« en droit, s'il le juge nécessaire, d'effectuer un examen de conformité au présent accord ».

Les APD stipulent de plus que les accords que le Ministère conclut avec des tiers

« doivent comporter une clause stipulant le droit de Statistique Canada ou du Ministère (l'organisation réceptrice) de vérifier la conformité aux modalités du présent accord ».

Le Ministère a conclu des accords-cadres sur le partage des données avec les treize RSS de la Saskatchewan, et les annexes sur le partage de données qui les accompagnent comprennent une clause d'audit. Aussi, une clause d'audit est incluse dans l'entente sur les FSGI conclue avec eHealth, et eHealth a collaboré avec le Ministère et Statistique Canada pour vérifier la conformité aux modalités des AGPD. Cependant, aucune clause d'audit n'était incluse dans un contrat de recherche conclu entre le Ministère et une organisation provinciale de recherche.

Recommandations :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail doit s'assurer de ce qui suit :

• Les données de Statistique Canada sont transmises directement à l'administrateur de données du Ministère, en conformité avec les modalités des APD.

Réponse de la direction :

La direction souscrit à la recommandation formulée.

• Le directeur de la DSS confirmera l'identité et les coordonnées de l'administrateur de données désigné au ministère de la Santé de la Saskatchewan et actualisera les deux formulaires de transmission de données (qui doivent être remplis lorsque des fichiers statistiques confidentiels sont transmis à des partenaires récepteurs externes). Il s'agit du Formulaire 1 – Accusé de réception du transfert pour le directeur et du Formulaire 2 – Accusé de réception du transfert par une tierce partie.
  
  Produits livrables et échéancier : Les formulaires 1 et 2 doivent être actualisés d'ici avril 2014.

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail doit communiquer avec le Ministère pour s'assurer de ce qui suit :

• L'administrateur de données au Ministère vérifie la conformité à toutes les exigences des APD : signature d'un document sur la confidentialité par les employés et les sous-traitants avant tout accès aux données de Statistique Canada; création et tenue à jour d'un registre des fichiers de données reçus de Statistique Canada; création et tenue à jour d'un registre de toutes les personnes auxquelles on a accordé un accès à ces fichiers de données.
• Une clause d'audit est incluse dans tous les accords et contrats conclus par le Ministère avec des tierces parties, en conformité avec les modalités des APD.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le statisticien en chef adjoint enverra une lettre au ministère de la Santé de la Saskatchewan, décrivant les exigences de l'accord sur le partage de données et rappelant le rôle et les responsabilités de l'administrateur de données. De plus, la lettre exigera une copie du document sur la confidentialité du Ministère, une copie du registre rempli des fichiers de données reçus de Statistique Canada ainsi qu'une copie du registre rempli des personnes auxquelles on a accordé un accès à des fichiers de données de Statistique Canada.
  
  Produits livrables et échéancier : La lettre doit être préparée et envoyée d'ici mai 2014. Dans le cadre du processus de la DSS en matière de surveillance continue des accès, la DSS demandera au Ministère de lui fournir, tous les six mois, une copie de son registre courant des accès aux données.
• Le directeur de la DSS demandera des copies des gabarits des accords avec les tierces parties du Ministère, les examinera afin de confirmer leur conformité avec les modalités de l'accord de partage de données, et informera le Ministère de toute lacune constatée. Les données d'enquêtes sur la santé de Statistique Canada ne seront communiquées qu'une fois que le directeur de la DSS aura soigneusement examiné les gabarits proposés d'accords avec les tierces parties et sera satisfait qu'ils respectent les modalités de l'AGPD. La haute direction de Statistique Canada sera informée une fois que la conformité des gabarits aura été confirmée.
  
  Produits livrables et échéancier : La demande doit être envoyée d'ici mai 2014, et l'examen doit être exécuté immédiatement à la réception des gabarits des accords avec les tierces parties.

Il est nécessaire d'apporter des améliorations à la gestion et à la manipulation des renseignements confidentiels de Statistique Canada au Ministère et à eHealth

Au Ministère :

L'administration opérationnelle et la gestion des APD incombent au directeur de la Health Information Policy and Legislation Division, Risk and Relationship Management Branch, au Ministère – soit l'administrateur de données désigné pour les renseignements confidentiels de Statistique Canada. Un analyste principal des politiques relevant du directeur est responsable de l'administration quotidienne des APD. Les entrevues ont révélé qu'il y a eu un taux de roulement important au sein de ce groupe au cours des deux dernières années, à la fois au niveau du directeur (trois directeurs en deux ans) et à celui des analystes. De plus, l'analyste principal des politiques était en congé prolongé pendant notre audit. Le directeur exerçait les deux fonctions et a confirmé que les rôles et responsabilités associés au poste de l'analyste n'étaient pas documentés. L'absence de rôles et responsabilités clairement documentés et communiqués et le roulement important des employés accroissent le risque que des processus inefficaces et inefficients soient appliqués à la gestion des données.

À eHealth Saskatchewan :

Dans le cadre de l'audit, on a exécuté une revue générale des processus et procédures de réception, de stockage et de transmission des fichiers de données de Statistique Canada. On a constaté l'existence d'instructions détaillées en matière de réception, de stockage et de transmission des données, et que ces instructions sont mises en application par deux employés du groupe chargé de l'administration des entrepôts de données. L'audit a constaté que les employés comprennent leurs rôles et responsabilités, toutefois ces derniers n'ont pas été documentés ni communiqués.

Un examen du dossier informatique où sont conservés les fichiers de données originaux chiffrés de Statistique Canada reçus via le STEF a révélé que les fichiers de données sont téléchargés dans le système d'analyse statistique et sur les serveurs de bases de données de eHealth, et que leur ouverture nécessite un mot de passe distinct du mot de passe utilisé pour ouvrir une session sur le réseau. L'audit a constaté que le groupe chargé de l'administration des entrepôts de données tient à jour des fichiers journaux de tous les renseignements reçus de Statistique Canada et transmis à des tierces parties. Les journaux électroniques indiquent les titres des fichiers envoyés, leur destinataire, le nom et les coordonnées de la personne-ressource ainsi que la date d'envoi.

Les entrevues ont révélé que le groupe chargé de l'administration des entrepôts de données partage des renseignements sur la santé de Statistique Canada avec des destinataires internes ou externes seulement après avoir obtenu l'approbation de l'administrateur de données. Cependant, il n'y avait aucune preuve de telles approbations puisqu'elles sont obtenues de manière informelle.

Le partage de renseignements avec des tierces parties par le Ministère n'est pas toujours conforme aux exigences des APD

Le Ministère peut accorder à des tierces parties un accès à des renseignements confidentiels provenant d'enquêtes sur la santé de Statistique Canada conformément aux cinq dispositions suivantes :

1. Des chercheurs avec lesquels le Ministère sous-traite directement en vue d'obtenir un produit ou un service lié aux enquêtes dont lui seul sera le destinataire.
2. Une autre organisation qui a conclu un APD avec Statistique Canada pour la même enquête et pour les mêmes années de référence de l'enquête.
3. eHealth en vertu de la Health Information Protection Act, Lois de la Saskatchewan, 1999 aux fins de la prestation de services d'informatique et du regroupement de dossiers contenant des renseignements personnels sur la santé, à la condition que le Ministère sous-traite directement eHealth pour la prestation d'un produit ou service lié à une enquête au seul bénéfice du Ministère et en application de son mandat.

Le Ministère n'avait conclu aucun contrat avec des chercheurs ni avec aucune organisation qui avait conclu un APD avec Statistique Canada. Une entente sur les FSGI avait été conclue avec eHealth.

4. Des instituts de recherche universitaires ou provinciaux/territoriaux avec lesquels il sous-traite directement en vue d'obtenir un produit ou un service lié aux enquêtes dont il sera le seul destinataire.

L'audit a constaté que le Ministère avait conclu un contrat avec une organisation provinciale de recherche. L'audit a noté que l'une des exigences stipulées dans l'APD pour l'établissement d'un contrat avec une organisation provinciale de recherche est :

« La partie destinataire peut accorder l'accès aux renseignements à un institut ou organisation de recherche reconnu, pourvu qu'un consentement exprès écrit ait été obtenu auprès de Statistique Canada avant que l'entente contractuelle n'ait été formalisée entre la partie destinataire et l'institut ou organisation de recherche ».

Les entrevues ont révélé que le Ministère n'avait pas obtenu le consentement exprès écrit de Statistique Canada pour ce contrat.

Depuis, la DVI a fourni une copie du contrat à la DSS pour examen. La DVI a été informée par la DSS qu'elle aurait donné son consentement écrit au Ministère pour le contrat existant, puisqu'il satisfait aux exigences nécessaires en matière de confidentialité et à toutes les exigences de Statistique Canada. La DVI a examiné l'un des fichiers avec l'organisation provinciale de recherche et a constaté qu'aucun identifiant personnel n'avait été partagé avec l'organisation, ce qui est conforme à l'APD.

5. Treize RSS en Saskatchewan. Cependant, les résultats des enquêtes sur la santé de Statistique Canada peuvent seulement être communiqués aux RSS si les répondants avaient été avisés que leurs réponses seraient fournies aux RSS dans leur province de résidence. Autrement, une RSS peut uniquement travailler sous contrat pour le Ministère pour produire un produit ou service lié aux enquêtes dont seul le Ministère sera le destinataire.

L'audit a constaté que le ministère de la Santé de la Saskatchewan a conclu des accords-cadres sur le partage des données avec les RSS de la Saskatchewan, pour une période de cinq ans qui peut être prolongée sur une base mensuelle, à moins que l'accord ne soit résilié. L'examen de l'accord-cadre sur le partage des données a révélé qu'il établit les conditions administratives régissant le partage de données avec les RSS.

L'une des conditions administratives de l'accord-cadre sur le partage des données stipule qu'avant que les données ne puissent être partagées avec une RSS,

« il faut soumettre par écrit une demande de données distincte au moyen d'un document nommé "annexe sur le partage de données" qui doit indiquer que l'accord a été établi conformément à l'accord-cadre sur le partage des données et qu'il entrera en vigueur seulement au moment de son exécution par le personnel autorisé des deux parties ».

Lorsque l'accès à des renseignements confidentiels de Statistique Canada doit se faire dans les locaux d'une RSS, cette dernière doit signer une annexe sur le partage de données qui reflète les modalités des APD de Statistique Canada en matière de : accès, usage et sécurité des renseignements partagés; confidentialité; partage avec une tierce partie; sécurité matérielle et sécurité des TI. Cette approche respecte les exigences des APD stipulant que

« les RSS doivent s'engager dans une entente écrite ou un contrat à respecter les modalités de l'APD conclu avec Statistique Canada, et à mettre en œuvre les mesures de sécurité nécessaires décrites à l'Annexe A de l'APD conclu avec Statistique Canada ».

L'audit a constaté qu'en 2013, six fichiers de données de Statistique Canada partagés par le Ministère ont été consultés dans les bureaux de trois RSS, toutefois aucune annexe sur le partage des données n'avait été établie ni conclue avec les RSS par le Ministère. La DVI a examiné l'un des fichiers partagés avec l'une des RSS et a constaté qu'aucun identifiant personnel n'avait été partagé, conformité avec les APD.

Recommandations :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail, doit communiquer avec le Ministère pour s'assurer de ce qui suit :

• Il faut documenter les rôles et responsabilités en matière de gestion et de manipulation des renseignements provenant d'enquêtes sur la santé de Statistique Canada, et les communiquer aux employés à la fois au Ministère et à eHealth.
• Le Ministère doit conserver dans ses dossiers les approbations formelles permettant à eHealth de partager des données avec des tierces parties.
• Il faut établir des annexes sur le partage de données avec les RSS, en conformité avec les exigences du Ministère en vertu de son accord-cadre sur le partage des données et des APD de Statistique Canada.
• Il faut obtenir le consentement exprès écrit auprès de Statistique Canada avant d'établir un contrat avec un institut provincial ou une organisation de recherche reconnus.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le statisticien en chef adjoint enverra une lettre au ministère de la Santé de la Saskatchewan, pour obtenir la liste des employés du Ministère et de eHealth qui ont accès à des renseignements provenant d'enquêtes sur la santé de Statistique Canada, ainsi que leurs rôles et responsabilités en matière de manipulation de renseignements de Statistique Canada. Aussi, la lettre visera à obtenir le plan du Ministère pour la documentation et la communication des rôles et responsabilités en matière de gestion et de manipulation des renseignements provenant d'enquêtes sur la santé de Statistique Canada.
• On demandera au Ministère d'établir des annexes sur le partage de données avec les régions socio-sanitaires de manière à régir le partage de renseignements provenant d'enquêtes sur la santé de Statistique Canada, en conformité avec les exigences du Ministère stipulées dans son accord-cadre sur le partage des données et avec les APD de Statistique Canada, et de fournir des copies des annexes à la DSS.
• Le statisticien en chef adjoint rappellera la responsabilité pour le Ministère de conserver en dossier les approbations formelles consenties et d'obtenir le consentement exprès écrit de la DSS avant la conclusion de tout contrat avec un institut ou organisation de recherche provincial reconnu.
  
  Produits livrables et échéancier : La lettre doit être préparée et envoyée d'ici mai 2014. On demandera des copies de toutes les annexes sur le partage de données conclues avec des régions socio-sanitaires pour le partage de renseignements provenant d'enquêtes sur la santé de Statistique Canada.

L'accès matériel est sécurisé

Le groupe chargé de l'administration des entrepôts de données à eHealth est hébergé dans les mêmes installations que le Ministère. Une inspection matérielle du site du Ministère a révélé que l'accès matériel aux bureaux du Ministère est sécurisé par des portes verrouillées munies d'un lecteur de cartes où les employés doivent présenter leur carte d'accès pour entrer. Les visiteurs doivent signer le registre à la réception et sont escortés en tout temps.

Le stockage matériel des renseignements de Statistique Canada est sécurisé

Les données de Statistique Canada sont conservées dans le système de TI protégé de eHealth (serveurs d'entreposage de données). Les serveurs de eHealth sont installés dans une installation de 1 800 pieds carrés située dans un immeuble distinct dont la sécurité est assurée 24 heures sur 24, 7 jours sur 7. L'accès à la salle des serveurs sécurisée est uniquement accordé aux membres autorisés du personnel de eHealth. Aucun accès n'est accordé à des invités. Les visiteurs doivent signer le registre à la réception et sont escortés en tout temps par des personnes autorisées. Les murs, le plancher et le plafond de la salle des serveurs sont protégés par un treillis métallique, et des caméras installées dans la salle permettent de vérifier les entrées et les accès aux serveurs. Les bandes vidéo sont conservées pendant quatre-vingt-dix jours, et le directeur vérifie le journal des accès tous les mois.

L'accès réseau aux fichiers de données de Statistique Canada ne respecte pas le cadre des politiques du Ministère et de eHealth, ni les modalités des APD

Les privilèges d'accès au réseau sont obtenus via le service de dépannage de eHealth. Les employés de eHealth doivent remplir un formulaire d'obtention de compte réseau pour accéder aux réseaux et doivent obtenir l'approbation de leur gestionnaire. Le gestionnaire doit remplir un formulaire similaire lorsqu'il faut retirer les privilèges d'accès d'un employé au moment de la modification de ses fonctions ou de son licenciement.

Les modalités des APD stipulent que l'accès à des renseignements confidentiels de Statistique Canada au Ministère doit être accordé uniquement en fonction du besoin de savoir aux employés dont les responsabilités nécessitent un tel accès en vue de satisfaire aux besoins du Ministère en matière de statistiques et de recherche. De plus, l'entente sur les FSGI conclue entre le Ministère et eHealth stipule que

« eHealth peut accéder aux renseignements et les utiliser sur la base d'un besoin de savoir tel qu'autorisé expressément par le Ministère à la seule fin de remplir ses obligations en vertu de l'accord ».

L'audit a vérifié cette exigence en déterminant qui avait des privilèges d'accès au dossier dans lequel les fichiers de données de Statistique Canada sont stockés, l'objet des accès et leur fréquence. Deux employés du groupe chargé de l'administration des entrepôts de données à eHealth assument la responsabilité directe des fichiers de données de Statistique Canada, ce qui implique la réception et le stockage des données et leur transmission aux utilisateurs internes et externes. Cependant, l'accès au serveur de bases de données sur lequel les fichiers de données de Statistique Canada sont conservés était accordé aux sept employés du groupe chargé de l'administration des entrepôts de données à des fins de formation par rotation de postes et de sauvegarde.

L'article 8.1.1 du Cadre de la politique de sécurité du Ministère stipule :

« un employé d'un sous-traitant du ministère de la Santé doit signer une entente sur la confidentialité avant de pouvoir prodiguer des services au ministère de la Santé ».

Cette exigence est distincte du document sur la confidentialité stipulé dans les AGPD qui doit être rempli par l'administrateur de données avant qu'un accès ne soit accordé aux données de Statistique Canada.

L'audit a constaté que les sept employés du groupe chargé de l'administration des entrepôts de données, qui étaient des employés antérieurs du Ministère et étaient maintenant des employés de eHealth et prodiguaient des services au Ministère n'avaient pas signé d'entente sur la confidentialité avec le Ministère.

Des mesures de sécurité sont en place pour la protection de l'identification et de l'authentification, des systèmes de stockage Ti et de la transmission des données

Après des essais, l'audit a révélé que les fichiers de données sont gérés au moyen de règles de configuration des serveurs et d'accès aux répertoires chez eHealth, de manière à s'assurer que l'accès est limité aux seules personnes qui ont été autorisées. Les fichiers de données sont reçus directement de Statistique Canada via le STEF, et sont conservés sur un serveur de bases de données. Des contrôles d'accès logique sont en place au niveau des dispositifs pour tous les postes de travail, et au niveau des systèmes pour tous les serveurs de bases de données. Les données ne sont pas conservées sur des postes de travail individuels. eHealth transmet les données aux utilisateurs externes via un protocole sécurisé de transfert de fichiers, selon lequel les fichiers de données sont compressés et protégés par mots de passe avant d'être chiffrés.

Des mesures de sécurité sont en place pour la copie et la rétention des renseignements et la gestion des enregistrements

Les renseignements conservés sur les serveurs de bases de données sont sauvegardés quotidiennement sur des bandes chiffrées qui sont elles-mêmes conservées hors-site dans un immeuble sécurisé pendant trente jours avant d'être transférées dans les installations hors-site d'une entreprise privée. L'examen du Cadre de la politique de sécurité de eHealth et du Ministère a révélé que leurs politiques sur la sécurité interdisent la transmission de données par télécopieur ou par courriel, ainsi que le stockage des données sur des dispositifs transportables (CD-ROM, clé USB, disque dur, ordinateur portable). Les données ne doivent pas quitter les lieux, sauf dans les situations de transfert à des tierces parties et de transfert aux installations hors-site de l'entreprise privée, et ne doivent pas être copiées. On utiliser les services d'une entreprise privée de déchiquetage pour la destruction sécurisée des renseignements confidentiels.

Recommandations :

Le statisticien en chef adjoint (SCA) pour le Secteur de la statistique sociale, de la santé et du travail, doit communiquer avec le Ministère pour s'assurer de ce qui suit :

• L'accès aux données de Statistique Canada chez eHealth est limité à certains employés en fonction du « besoin de savoir », en conformité avec les modalités des APD et avec l'entente sur les FSGI conclue entre le Ministère et eHealth.
• Les employés d'un sous-traitant du ministère de la Santé qui prodigue des services au ministère de la Santé doit signer l'entente du Ministère sur la confidentialité, en conformité avec son Cadre de la politique de sécurité.

Réponse de la direction :

La direction souscrit aux recommandations formulées.

• Le statisticien en chef adjoint enverra une lettre au ministère de la Santé de la Saskatchewan pour lui rappeler que l'accès aux données de Statistique Canada chez eHealth doit être limité à certains employés en fonction du « besoin de savoir », en conformité avec les modalités des APD et avec l'entente sur les FSGI conclue entre le Ministère et eHealth.
• On rappellera de plus au Ministère la nécessité de faire signer l'entente sur la confidentialité par tous les sous-traitants, et on lui demandera de confirmer que tous les sous-traitants ont signé l'entente sur la confidentialité.
  
  Produits livrables et échéancier : La lettre sera préparée et envoyée d'ici mai 2014, et la confirmation que tous les sous-traitants ont bien signé l'entente sur la confidentialité doit être envoyée à la DSS d'ici juin 2014.
  
  Dans le cadre de son processus de surveillance continue des accès, la DSS demandera au Ministère de lui fournir tous les six mois la liste des employés du Ministère et de eHealth qui ont accès aux renseignements provenant d'enquêtes sur la santé de Statistique Canada, avec leurs rôles et responsabilités.