Rapport annuel au Parlement 2023-2024 – Loi sur la protection des renseignements personnels

Introduction

Le rapport annuel du Conseil national de recherches du Canada (CNRC) sur l'application de la Loi sur la protection des renseignements personnels (LPRP) est présenté au Parlement conformément à l'article 72 de la LPRP. Ce 40^e rapport annuel sur l'administration de la LPRP au CNRC donne un aperçu des activités entreprises par le Conseil au cours de la période visée par le rapport, soit du 1^er avril 2023 au 31 mars 2024. Au cours de cette période, le CNRC n'a pas eu de filiales non opérationnelles.

La LPRP a pour objet de compléter la législation canadienne actuelle en matière de protection des renseignements personnels relevant des institutions fédérales et de droit d'accès des individus aux renseignements personnels qui les concernent. La LPRP régit la collecte, l'utilisation et la communication des renseignements personnels détenus par les institutions fédérales incluant le CNRC.

I. Structure organisationnelle et délégation de pouvoirs

Du 1er avril 2023 au 23 juillet 2023, le président du CNRC a délégué les pleins pouvoirs pour l'application et l'administration de la LPRP au vice-président des Services professionnels et d'affaires, au dirigeant principal de l'information et directeur général des Services du savoir, de l'information et des technologies et à la directrice du groupe des services de bibliothèque et de gestion de l'information. Une partie du pouvoir est déléguée à la coordonnatrice de l'accès à l'information et protection des renseignements personnels (AIPRP). 

Du 24 juillet 2023 au 31 mars 2024, le président du CNRC a délégué les pleins pouvoirs pour l'application et l'administration de la LPRP à la Vice-présidente des Services corporatifs et chef de la direction financière, au dirigeant principal de l'information et directeur général des Services du savoir, de l'information et des technologies et à la directrice du groupe des services de bibliothèque et de gestion de l'information. Une partie du pouvoir est déléguée à la coordonnatrice de l'accès à l'information et protection des renseignements personnels (AIPRP).

Des copies signées des arrêtés de délégation se trouvent à l'annexe A.

Pendant la période couverte par ce rapport, le bureau de l'AIPRP du CNRC faisait partie du groupe des services de bibliothèque et de gestion de l'information, au sein de la Direction des services du savoir, de l'information et des technologies. Le bureau de l'AIPRP du CNRC était composé de 6 employés à temps plein : 1 coordonnatrice de l'AIPRP, 3 agentes principales de l'AIPRP, 1 agente subalterne de l'AIPRP et 1 commis de l'AIPRP.

Le bureau de l'AIPRP du CNRC travaille étroitement avec la Direction des ressources humaines, l'équipe de la gestion de l'information, les conseillers exécutifs, la Direction des communications du CNRC et les membres de la haute direction dans l'ensemble de l'organisation.

Le bureau de l'AIPRP assume la responsabilité de coordonner et de mettre en œuvre les politiques, les lignes directrices et les procédures afin de s'assurer que l'organisation respecte la LPRP. Dans ce but, le groupe offre les services suivants à l'organisation :

• Il organise des activités de sensibilisation à la LPRP au sein de l'organisation ;
• Il traite et gère les demandes et les plaintes en matière de demandes de renseignements personnels.
• Il gère le système électronique de gestion des dossiers d'AIPRP ;
• Il traite les demandes de consultation tenues avec les autres organismes ;
• Il offre des services de conseils et d'orientation professionnels à la haute direction et à l'ensemble du personnel sur la Loi ;
• Il prépare les 2 rapports annuels suivants : le rapport au Parlement et le rapport statistique annuel ;
• Il met à jour le chapitre Info Source du CNRC ;
• Il participe au processus d'évaluation des facteurs relatifs à la vie privée en créant ou en modifiant les fichiers de renseignements personnels ;
• Il examine tous les documents de l'organisation (notamment les rapports de vérification et d'évaluation, avant leur diffusion proactive sur le site Web de l'organisation) ainsi que les réponses aux questions parlementaires. Il examine également les rapports d'enquête sur les cas de harcèlement en ce qui concerne des questions liées à la protection des renseignements personnels ;
• Il élabore des procédures internes ; et,
• Il participe aux tribunes réunissant les membres de la collectivité de l'AIPRP, comme les réunions et les groupes de travail de la collectivité de l'AIPRP relevant du Secrétariat du Conseil du Trésor du Canada (SCT).

Pendant la période couverte par ce rapport, le CNRC n'a fait partie d'aucune entente de service en vertu de l'article 73.1 de la LPRP.

II. Interprétation du rapport statistique

L'annexe B contient le rapport statistique sur l'application de la LPRP par le CNRC du 1er avril 2023 au 31 mars 2024. Dans cette section, nous procédons à l'interprétation de ce rapport statistique.

Au cours de l'exercice 2023-2024, le CNRC a reçu 25 nouvelles demandes de renseignements personnels et 8 demandes étaient en suspens depuis la période précédente.

Les données statistiques, comme l'indique le graphique suivant, indiquent le nombre de demandes reçues et traitées au cours des 3 dernières années. Ces données ne reflètent pas les demandes informelles pour l'accès aux renseignements personnels reçues au bureau de l'AIPRP.

Description détaillée du Graphique 1

Graphique 1 : Volume de demandes relatives à la protection des renseignements personnels

Statut	2021-2022	2022-2023	2023-2024
Reçues	13	24	25
Traitées	15	17	33
Reportées	1	8	0

Sur les 33 demandes traitées pendant la période de référence, 21 % des documents ont été entièrement divulgués, 36 % des documents ont été divulgués en partie, 6 % des documents ont été prélevés dans leur entièreté, 19 % des demandes n'avaient pas de documents existants, 15 % des demandes ont été abandonnées et 3 % des demandes ont été ni confirmées ni infirmées.

En ce qui concerne les délais de traitement, sur les 33 demandes traitées au cours de la période visée, 18 ont été traitées en 30 jours ou moins et 15 demandes ont été traitées entre 31 et 60 jours, respectant à 100 % les délais légaux.

Description détaillée du Graphique 2

Graphique 2 : Nombre de jours pris pour traiter les demandes

Nombre de jours	Nombre de demandes
Entre 1 et 30 jours	18
Entre 31 et 60 jours	15

L'article 15 de la LPRP permet aux institutions de prolonger le délai de traitement des demandes d'une période maximale de 30 jours dans les cas où :

• (i) l'observation du délai original entraverait de façon sérieuse le fonctionnement de l'institution ; ou,
• (ii) les consultations nécessaires pour donner suite à la demande rendraient pratiquement impossible l'observation du délai.

Si les documents doivent être traduits ou de transfert sur support de substitution, un délai d'une période qui peut se justifier peut également être pris.

Le CNRC a invoqué une prorogation dans 15 cas où le respect du délai initial de 30 jours entraverait de façon sérieuse le fonctionnement du Conseil en raison du grand volume de documents.

Les sections 3.2 et 3.3 du rapport statistique se concentrent sur l'application des exceptions et exclusions en vertu de la LPRP. Pendant la période visée, le CNRC a invoqué les articles 22.3, 26 et 27.

Comme le démontre le graphique suivant, le nombre de pages divulguées en réponse aux demandes de renseignements personnels a augmenté par rapport à la période précédente.

Description détaillée du Graphique 3

Graphique 3 : Tendances relatives aux pages divulguées

Années	Pages divulguées
2021-2022	2 610
2022-2023	1 072
2023-2024	2 073

Au cours de cet exercise, le bureau de l'AIPRP a traité une consultation en vertu de la LPRP. Le CNRC a fourni des commentaires à une autre institution gouvernementale concernant la divulgation de 3 pages.

En ce qui concerne les dispositions de la LPRP et dans le contexte de ses responsabilités et rôles généraux, le bureau de l'AIPRP du CNRC a examiné un total de 121 questions parlementaires reçues au cours de la période considérée, comparativement à 114 examinées en 2022-2023 et 110 revues en 2021-2022.

Description détaillée du Graphique 4

Graphique 4 : Questions parlementaires

Années	Questions parlementaires
2021-2022	110
2022-2023	114
2023-2024	121

Pour la période visée par le présent rapport, le CNRC a été invité à rédiger un rapport supplémentaire. Ce rapport statistique supplémentaire figure à l'annexe C.

III. Formation et sensibilisation à l'égard de la protection des renseignements personnels

Des séances de sensibilisation et de formation sont offertes aux employés du CNRC pour qu'ils connaissent et comprennent mieux la LPRP. Ces séances offrent une formation de base sur les buts et sur les dispositions de la LPRP, sur les rôles et responsabilités de même que sur les pratiques exemplaires générales (notamment la gestion des courriels). Toutes les séances de formation comprennent de l'information sur la détermination et la gestion des renseignements personnels conformément aux dispositions de la Loi sur la protection des renseignements personnels ainsi que celles de la Loi sur l'accès à l'information. Au cours de la période visée par le rapport, le bureau de l'AIPRP a offert 8 séances de formation au total à 192 employés de la région de la capitale nationale et des bureaux régionaux. Cette augmentation du nombre de formations en comparaison avec les années précédentes a aidé le CNRC à atteindre un taux de conformité de 100 %.

À l'appui du programme d'AIPRP dans l'ensemble du Conseil, les outils et les directives de l'AIPRP sont mis à jour sur une base régulière et peuvent être consultés sur les sites Web internes et externes du CNRC.

Les membres du bureau de l'AIPRP travaillent continuellement à sensibiliser et à guider les employés, les tierces parties et les demandeurs à propos des exigences de la LPRP en engageant un dialogue continu et des discussions bilatérales. Au cours de l'exercice, la coordonnatrice et les agents de l'AIPRP ont répondu à de nombreuses demandes et questions de collègues (Direction des ressources humaines, haute direction, etc.), et ont donné des avis et des conseils sur divers sujets reliés à la protection des renseignements personnels.

Tout au long de l'exercice, la coordonnatrice ainsi que les agents de l'AIPRP au CNRC ont assisté à plusieurs réunions de la collectivité de l'AIPRP et aux séances de formation offertes par le SCT.

IV. Procédures, lignes directrices et directives

Le CNRC n'a pas révisé ni mis en œuvre de nouvelles politiques, lignes directrices ou procédures à propos de la protection des renseignements personnels au cours de la période visée.

V. Plaintes, enquêtes et verifications

Au cours de l'exercice, 1 plainte contre le CNRC a été enregistrée auprès du Commissariat à la protection de la vie privée (CPVP) au sujet du temps nécessaire pour répondre à la demande, bien que celle-ci ait été fermée dans les délais prescrits par la LPRP. Pour soutenir le processus d'enquête du CPVP, le bureau de l'AIPRP a transféré tous les documents nécessaires à l'examen de la plainte. Cette plainte n'avait toujours pas été résolue à la fin de la période visée par le rapport.

Il n'y a aucune enquête ni vérification en cours du CNRC en vertu des dispositions de la LPRP.

VI. Suivi des demandes de renseignements personnels

Conformément aux politiques et aux directives du SCT, le bureau de l'AIPRP a établi des procédures internes relatives à l'AIPRP et des pratiques organisationnelles pour assurer le traitement efficace et rapide des demandes de renseignements personnels, tout en faisant les efforts nécessaires pour aider les demandeurs, et ce, sans tenir compte de leur identité.

Le bureau de l'AIPRP utilise un système de traitement des données qui lui permet de faire le suivi des demandes reçues et complétées au CNRC. Ce système est conçu pour suivre les délais imposés par les lois.

Les employés du bureau de l'AIPRP se rencontrent chaque semaine pour discuter à propos des activités reliées aux demandes, pour établir des échéanciers et pour s'assurer que tous les employés du bureau de l'AIPRP sont informés de l'état des demandes. Des rencontres avec la directrice du groupe des services de bibliothèque et de gestion de l'information ont également lieu sur une base hebdomadaire.

Un rapport de demandes d'AIPRP actives (en conservant l'anonymat des demandeurs) est envoyé à la haute direction du CNRC sur une base hebdomadaire, et un rapport plus détaillé est fourni aux gestionnaires possédant des pouvoirs délégués pour l'AIPRP. Un rapport hebdomadaire est également transmis au Ministre de l'Innovation, de la Science et du Développement économique du Canada.

Aucune demande de correction de renseignements personnels n'a été reçue par le bureau de l'AIPRP au cours de la période visée par le rapport.

VII. Atteintes substantielles à la vie privée

Il y a eu 1 atteinte substantielle à la vie privée au cours de l'exercice 2023-2024, liée à une violation de données de Services globaux de relogement Brookfield qui a touché plusieurs institutions gouvernementales. Bien qu'il n'y ait aucune évidence que des informations personnelles aient été atteintes, l'incident a été signalé au Commissariat à la protection de la vie privée ainsi qu'au Secrétariat du Conseil du Trésor du Canada.

VIII. Évaluation des facteurs relatifs à la vie privée

Le CNRC n'a pas effectué d'évaluation des facteurs relatifs à la vie privée au cours de l'exercice 2023-2024.

IX. Communication d'information en vertu de l'alinéa 8(2)(m)

L'alinéa 8(2)(m) permet la communication de renseignements personnels dans les cas où des raisons d'intérêt public justifient nettement une éventuelle violation de la vie privée ou lorsque l'individu concerné en tirerait un avantage certain. Il n'y a eu aucune communication de renseignements personnels en vertudes termes de l'alinéa 8(2)(m) au cours de l'exercice 2023-2024.

Annexe A : Décrets de délégation

Arrêté sur la délégation en vertu de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels 2021

En vertu de l'article 95 de la Loi sur l'accès à l'information et de l'article 73 de la Loi sur la protection des renseignements personnels, le Président du Conseil national de recherches du Canada (CNRC) délègue aux titulaires des postes mentionnés à l'annexe ci-après, ainsi qu'aux personnes occupant à titre intérimaire lesdits poste, les attributions dont il est, en qualité de responsable du CNRC, investi par les articles des Lois ou leurs règlements mentionnés en regard de chaque poste. Le présent document remplace et annule tout arrêté antérieur.

Daté en la ville d'Ottawa
Le 4 mai 2021

Iain Stewart
Président du Conseil national de recherches du Canada

Arrêté sur la délégation en vertu de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels 2023

En vertu de l'article 95 de la Loi sur l'accès à l'information et de l'article 73 de la Loi sur la protection des renseignements personnels, le Président du Conseil national de recherches du Canada (CNRC) délègue aux titulaires des postes mentionnés à l'annexe ci-après, ainsi qu'aux personnes occupant à titre intérimaire lesdits poste, les attributions dont il est, en qualité de responsable du CNRC, investi par les articles des Lois ou leurs règlements mentionnés en regard de chaque poste. Le présent document remplace et annule tout arrêté antérieur.

Daté en la ville d'Ottawa
Le 24 juillet 2023

Iain Stewart
Président du Conseil national de recherches du Canada

Annexe B : Rapport statistique

Rapport statistique sur la Loi sur la protection des renseignements personnels

Nom de l'institution : Conseil national de recherches du Canada

Période d'établissement de rapport : du 1er avril 2023 au 31 mars 2024

Partie 1 – Demandes en vertu de la Loi sur la protection des renseignements personnels

Partie 2 – Demandes informelles

Partie 3 – Demandes fermées pendant la période d'établissement de rapport

3.5 Complexité

3.5.7 Autres complexités

3.6 Demandes fermées

3.7 Présomptions de refus

Partie 4 – Communications en vertu des paragraphes 8(2) et 8(5)

Partie 5 – Demandes de correction de renseignements personnels et mentions

Partie 6 – Prorogations

Partie 7 – Demandes de consultations reçues d'autres institutions et organisations

Partie 8 – Délais de traitement des demandes de consultation sur les documents confidentiels du Cabinet

Partie 9 – Avis de plaintes et d'enquêtes reçus

Partie 10 – Évaluations des facteurs relatifs à la vie privée (ÉFVP) et des Fichiers de renseignements personnels (FRP)

Partie 11 – Atteintes à la vie privée

Partie 12 – Ressources liées à la Loi sur la protection des renseignements personnels

Annexe C : Rapport statistique supplémentaire 2023-2024

Rapport statistique supplémentaire sur la Loi sur l'accès à l'information et la Loi sur la protection des renseignements personnels

Nom de l'institution : Conseil national de recherches du Canada

Période d'établissement de rapport : du 1er avril 2023 au 31 mars 2024

Partie 1 – Demandes ouvertes et plaintes en vertu de la Loi sur l'accès à l'information

Partie 2 – Demandes ouvertes et plaintes en vertu de la Loi sur la protection des renseignements personnels

Partie 3 – Numéro d'assurance sociale

Votre institution a-t-elle commencé une nouvelle collecte ou une nouvelle utilisation cohérente du NAS en 2023-2024? Non

Partie 4 – Accès universel sous la Loi sur la protection des renseignements personnels

Combien de demandes ont été reçues de la part de ressortissants étrangers confirmés en dehors du Canada en 2023-2024? 0