Disability Case Management Solution
Executive Summary
An assessment of the privacy impacts associated with the implementation of a Disability Case Management Solution (DCM) hosted by a third-party vendor on behalf of the RCMP's Occupational Health and Safety Branch.
This report examines the privacy impacts associated with the collection, use, disclosure and retention of personal information by a vendor-hosted Disability Case Management (DCM) Solution (hereafter, the 'DCM Solution') that is web-based and specifically designed to support occupational health, disability management and accommodation best practices and workflows.
About the RCMP
The RCMP is Canada's national police service. Its operations are governed primarily by the Royal Canadian Mounted Police Act, which sets out the department's constitution and organization, and the primary responsibilities of its members.
By virtue of its federal policing responsibilities, and its obligations as a national police service, the RCMP's mandate is wide-ranging. It includes, among other things, the prevention and investigation of serious and organized crime, the maintenance of peace and order, and the enforcement of federal, provincial and municipal laws.
The department also contributes to public safety and national security, ensuring the safety of state officials and visiting dignitaries, and providing vital operational support and intelligence to police and law enforcement agencies in Canada and abroad.
The Occupational Health and Safety Branch (OHSB)
In fulfilling its mandate, the RCMP employs of over 29,000 employees, a majority of which are regular members (i.e., individuals who have completed RCMP Cadet Training and taken the RCMP's oaths of allegiance). The conditions under which these members conduct domestic and international operations are both physically and psychologically demanding.
Through the Occupational Health and Safety Services Branch (OHSB), the RCMP has designed programs and services to oversee and support the physical and mental health of its members.
The Occupational Health Management and Accommodation Program(OHMA Program) supports operational readiness by establishing and overseeing programs, policies and benefits based on evidence and industry best practices. The following RCMP policies reflect the OHMA Program responsibilities and accountabilities:
- The Disability Management and Accommodation Program Manual (Appendix B) serves as the authority and guideline for disability and accommodation management of members. In accordance with this policy, the RCMP will make every reasonable effort, to the point of undue hardship, to help ill or injured members remain at work and if an absence is required to support recovery, to return to work when they are able.
- The Health Services Manual provides details on occupational health services and supports available to members of the RCMP
Service Delivery Model
The primary purpose for collecting and retaining personal information in support of RCMP Occupational Health Management and Accommodation Program is to assess fitness for duty and deliver occupational health, disability case management, accommodation services and benefits for regular members.
Personal information is collected to administer and deliver the following programs and benefits as per the RCMP Act and RCMP Regulations, 2014, Canadian Human Rights Act and Government of Canada policies, directives, standards and guidelines.
1. Occupational Health Services
The RCMP's Occupational Health Services offers a broad range of workplace health related services that contribute to a safe and healthy workplace. These services are delivered by a team of professionals that include physicians who are Health Services Officers, psychologists and nurses. This multidisciplinary Occupational Health Team (OHT) participate in occupational health evaluations of members, disability case management and support the delivery of other programs and benefits that have a health component.
2. Disability Case Management Services
In support of the RCMP's self administered and funded Disability Management & Accommodation Program, ill or injured members are provided support through pro-active disability case management, sick leave benefits, return-to-work planning and workplace accommodation. Under this Program, RCMP Health and Human Resource professionals work together to:
- intervene early to identify and address health situations affecting a member's work abilities;
- perform health reviews to assess a member's fitness for duty;
- confirm health needs and identify functional abilities, limitations and restrictions to help the RCMP meet their duty to accommodate; and,
- facilitate a safe and timely return to work and/or workplace accommodation.
When a member's fitness for duty is impacted by an illness or injury, or a member is away from work due to illness or injury, the OHT plays an important role in clarifying the following for RCMP management: fitness for duty, the period of sick leave required for recovery, and, the duration of any functional limitations and restrictions identified.
3. Workplace Illness or Injury Benefits
In support of the RCMP's in-house and self-administered Occupational Health Program, health professionals will:
- assess a regular member's entitlement to occupational health care benefits by determining when injuries and illnesses are work-related, and
- by adjudicating these health care benefits (e.g. physiotherapy, chiropractor, mental health services, medication, etc.).
Procurement of a Disability Case Management Solution
The Royal Canadian Mounted Police (RCMP) has procured a web-based Disability Case Management (DCM) software solution specifically designed to support early intervention, proactive disability case management, return-to-work and workplace accommodation best practices and workflows. The implementation of this information technology solution will:
- capture and protect members personal, injury/illness and medical information, as well as details regarding return-to-work plans and the duty to accommodate;
- support effective coordination of case management activities among internal stakeholders to ensure the necessary supports for ill or injured members and facilitate successful and safe return to work;
- minimize the administrative burden for approximately 100 disability management, occupational health and accommodation practitioners across the Force through built-in service standards, auto- generation of pre-defined disability case management tasks and working tools;
- provide members with easy access to information pertinent to their case and facilitate the communication and submission of documents;
- provide management with status information on employees that fall within their hierarchy; and,
- provide management with on-demand reporting capability.
The DCM Solution allows for all information related to a disability management and accommodation case to be housed in one system, accessible as appropriate to the stakeholders involved. It will ensure both medical and non-medical documentation is complete and that RCMP management has real-time reporting on key metrics and trends in disability management. This includes the incidence and duration of absence due to illness and injury; the incidence of work-related versus non-work-related cases; the types of accommodations associated with successful return to work in the RCMP, and so on.
The DCM Solution will promote consistency in disability management across Divisions; identify trends in workplace and health issues and gaps; enhance process efficiencies; and, will inform changes to the Occupational Health Management and Accommodation Program policies and strategies. In addition, it will allow management to monitor and evaluate disability management and accommodation efforts through management dashboards and the generation of pre-defined and custom reports.
Balancing Disability Case Management Needs with Privacy
Procurement of a DCM Solution will help to better facilitate early intervention and disability case management which enables the RCMP to proactively plan for any accommodation needs that the member may have. It also helps to ensure that members are able to access the services and supports throughout their recovery. Although a web-based DCM Solution may introduce certain challenges for the RCMP in the protection and handling of personal information, privacy remains central to the administration and service delivery of these Human Resource Program(s).
Bearing in mind the above, the RCMP has elected to undertake a privacy impact assessment (PIA) in relation to the DCM Solution.
Purpose and Scope of the PIA
The RCMP is named in the Schedule to the Privacy ActFootnote 1 and is subject to the privacy policies and directives of the Treasury Board of Canada Secretariat (TBS). Under the TBS Policy on Privacy Protection, all federal institutions subject to the Privacy Act are required to undertake an assessment of the privacy impacts associated with the development or design of new programs or services involving personal information, or when making significant changes to an existing program or service.
The present assessment fulfills the requirement to conduct a PIA under the above policy and complies with the standards for performing PIAs, as set out in the TBS Directive on Privacy Impact Assessments. It also meets the PIA recommendations of the Office of the Privacy Commissioner of Canada's (OPC) Audit and Review Branch, as set out in Expectations: A Guide for Submitting Privacy Impact Assessments.
The purpose of this PIA is to identify and analyze the potential privacy impacts associated with the collection, use, disclosure and retention of personal information by, or on behalf of, the RCMP in the operation and administration of the web-based DCM Solution.
The DCM Solution PIA was completed under the direction of the Director General, Occupational Health Services Branch. It includes an assessment of program authorities, as contained in RCMP's enabling statutes and regulations, a detailed evaluation of privacy risks, an evaluation of personal information safeguards, and an assessment of contractual provisions needed to ensure that privacy is taken into account in the implementation of an outsourced DCM Solution.
The focus of this PIA is on the privacy risks associated with the collection, use, disclosure and retention of personal information by a Contractor on behalf of the RCMP in relation to the delivery of Occupational Health Management and Accommodation Program.
During the Implementation phase, the selected Contractor, Morneau Shepell, will undertake its own respective risk assessment to ensure that their personal information handling practices are compliant with the law and the policies and practices of the RCMP. The Contractor will bear complete responsibility to ensure that the DCM Solution meets all of the contractual privacy standards prior to the implementation date.
Meeting a Duty to Accommodate
The RCMP is committed to helping members with disabilities, injuries or illnesses remain at work or have a safe and timely return to work.
As a federal organization, we are required to identify and remove employment barriers as well as provide accommodations for persons with disabilities.
Summary of Privacy Issues Identified
Based on the present assessment, potential privacy risks arising from the DCM Solution are expected to be moderate to high. Privacy risks relating to the DCM Solution are expected to be effectively managed and mitigated however by contractual means. To this end, the RCMP has assessed and documented its obligations for privacy in the outsourcing of the DCM Solution, and drafted terms and conditions for privacy and the protection of personal information for inclusion in the final request for proposal and contract.
Whereas the Occupational Health Management and Accommodation Program involves the collection, use, disclosure and retention of sensitive personal information, it is incumbent upon the RCMP to ensure that privacy protections are taken into account before implementing the DCM Solution. It is important to note, that while personal health information pertaining to RCMP members may be created, processed and stored in the DCM Solution, the RCMP retains ownership of this data.
Notwithstanding the above, the following issues and recommendations may be relevant to the implementation of a vendor-hosted Disability Case Management Solution.
- With respect to the Occupational Health Management and Accommodation Program and DCM Solution oversight and evaluation, OHSB as the policy center responsible for program delivery, will oversee the implementation and ongoing phase of the DCM Solution contract.
- With respect to security safeguards, the Contractor will implement and maintain a DCM Solution that safeguard's the RCMP's data at all times by taking all administrative, physical and technical security measures that are necessary to secure and protect its integrity and confidentiality.
- With respect to the personnel who will support the implementation of the DCM Solution and/or provide ongoing system support, all Contractor personnel will be required to obtain and maintain an RCMP personnel security clearance commensurate with the sensitivity of the work being performed throughout the life of the contract.
- With respect to any risks associated with access to sensitive data by RCMP users of the DCM Solution, all persons who collect and use personal heath information held in the DCM Solution will be required to protect the confidentiality of the information. This standard of practice will be reinforced through training, policies and guidelines.
With respect to Personal Information Banks (PIB's) and to ensure an accurate depiction of the modernized RCMP program(s) and services, including the introduction of Disability Case Management Solution, a proposal to revise and update the PPE 808 has been identified and is underway.
Solution de gestion des cas d’incapacité
Résumé
Évaluation des risques d'atteinte à la vie privée liés à la mise en œuvre d'une solution de gestion des cas d'incapacité hébergée par un fournisseur tiers pour le compte de la Sous-direction de la santé et de la sécurité au travail de la GRC
Le présent rapport porte sur les facteurs relatifs à la vie privée liés à la collecte, à l'utilisation, à la communication et à la conservation de renseignements personnels par une solution de gestion des cas d'incapacité en ligne hébergée par le fournisseur qui est conçue précisément pour soutenir des pratiques exemplaires et des processus efficaces dans le domaine de la santé au travail, de la gestion des cas d'incapacité et de la prise de mesures d'adaptation.
GRC
La GRC est le service de police national du Canada. Ses opérations sont régies principalement par la Loi sur la Gendarmerie royale du Canada, qui établit la constitution et l'organisation du service et les responsabilités premières de ses membres.
Dotée de responsabilités et d'obligations de portée fédérale, la GRC est investie d'un vaste mandat, dont la prévention et l'enquête de la criminalité grave et organisée, le maintien de l'ordre et de la paix et l'application de lois fédérales, provinciales et municipales.
La GRC contribue aussi à la sécurité publique et nationale, protège les représentants de l'État et les dignitaires en visite et fournit des renseignements et des services de soutien opérationnel essentiels à d'autres services de police et organismes d'application de la loi au Canada et à l'étranger.
Sous-direction de la santé et de la sécurité au travail (SDSST)
Afin de remplir son mandat, la GRC emploie plus de 29 000 personnes, dont la majorité sont des membres réguliers (personnes qui ont réussi le Programme de formation des cadets à l'École de la GRC et qui ont prêté les serments d'allégeance de la GRC). Les conditions dans lesquelles travaillent ces membres, dans le cadre d'opérations nationales et internationales, sont exigeantes sur le plan physique et psychologique.
Par l'entremise de la Sous-direction de la santé et de la sécurité au travail (SDSST), la GRC a établi des programmes et services visant à surveiller et à soutenir la santé physique et mentale de ses membres.
Le Programme de gestion de l'incapacité et des mesures d'adaptation (PGIMA) assure la préparation opérationnelle grâce à l'élaboration et à la surveillance de programmes, de politiques et de prestations fondés sur les faits et les pratiques reconnues dans le domaine. Les politiques que voici reflètent les tâches et responsabilités du PGIMA.
- Le Manuel du Programme de gestion de l'incapacité et des mesures d'adaptation (Annexe B) sert d'autorité et de ligne directrice pour la gestion de l'incapacité et des mesures d'adaptation visant les membres. Conformément à cette politique, la GRC fera tous les efforts raisonnables, dans la mesure où cela ne lui cause pas de contrainte excessive, pour aider les membres
- La Manuel des Services de santé décrit les services et le soutien en matière de santé au travail qui sont offerts aux membres de la GRC.
Modèle de prestation de services
La collecte et la conservation de renseignements personnels à l'appui du PGIMA visent principalement à évaluer l'aptitude au travail des membres réguliers et à leur fournir des services de gestion des cas d'incapacité et des prestations de santé au travail et à prendre des mesures d'adaptation à leur égard. Les renseignements personnels sont recueillis afin d'administrer et d'offrir les services suivants conformément à la Loi sur la GRC, au Règlement de la GRC (2014), à la Loi canadienne sur les droits de la personne et aux politiques, directives, normes et lignes directrices du gouvernement du Canada.
1. Services de santé au travail
Les Services de santé au travail de la GRC offrent un large éventail de services liés à la santé au travail qui contribuent à un milieu de travail sûr et sain. Ces services sont offerts par une équipe de professionnels multidisciplinaire (médecins-chefs, psychologues, infirmiers). Cette équipe de santé au travail (EST) participe aux évaluations de santé professionnelle, à la gestion des cas d'incapacité et à la prestation d'autres programmes et avantages axés sur la santé.
2. Services de gestion des cas d'incapacité
Dans le cadre du PGIMA (autogéré et autofinancé), les membres malades ou blessés bénéficient d'une gestion proactive de leurs cas, de congés de maladie, de plans de retour au travail et de mesures d'adaptation. Les professionnels de la santé et des ressources humaines de la GRC travaillent de concert pour :
- intervenir rapidement afin de régler promptement les problèmes de santé qui ont des répercussions sur la capacité de travailler du membre;
- examiner l'état de santé du membre afin d'évaluer son aptitude au travail;
- confirmer les besoins en matière de santé et déterminer les capacités, limitations et restrictions fonctionnelles du membre afin que la GRC s'acquitte de son obligation de prendre des mesures d'adaptation;
- faciliter le retour au travail du membre en temps opportun et en toute sécurité et la prise de mesures d'adaptation.
Lorsqu'une maladie ou une blessure nuit à l'aptitude au travail d'un membre, ou si un membre est absent du travail en raison d'une maladie ou d'une blessure, l'EST joue un rôle important en fournissant à la direction de la GRC des éclaircissements sur l'aptitude au travail du membre, la période de congé de maladie requise pour le rétablissement et la durée des limites et restrictions fonctionnelles du membre.
3. Prestations en cas de maladie ou de blessure liée au travail
À l'appui du programme de santé au travail interne autogéré de la GRC, des professionnels de la santé :
- évaluent l'admissibilité d'un membre régulier à des prestations de soins de santé au travail en déterminant si la blessure ou la maladie est liée au travail;
- statuent sur les prestations de soins de santé (p. ex. physiothérapie, chiropractie, services de santé mentale, médicaments, etc.).
Solution de gestion des cas d'incapacité
La GRC a acheté un logiciel de gestion des cas d'incapacité en ligne conçu précisément pour soutenir une intervention rapide, une gestion proactive des cas d'incapacité et le recours à des pratiques exemplaires et processus efficaces pour le retour au travail et la prise de mesures d'adaptation. Ce nouveau système permettra de faire ce qui suit :
- saisir les données personnelles des membres, l'information sur leurs blessures ou maladies, leurs renseignements médicaux et les détails de leurs plans de retour au travail et de leurs mesures d'adaptation et en protéger l'intégrité;
- coordonner efficacement les activités de gestion des cas entre les différents intervenants à l'interne pour faire en sorte que les membres malades ou blessés disposent des ressources de soutien nécessaires et pour faciliter leur retour au travail en toute sécurité;
- réduire autant que possible le fardeau administratif d'une centaine de praticiens en gestion de l'incapacité, en santé au travail et en prise de mesures d'adaptation dans l'ensemble de l'organisation grâce à des normes de service intégrées et à des tâches et outils de travail préétablis pour la gestion des cas d'incapacité;
- donner aux membres facilement accès à l'information sur leur dossier et faciliter la communication et la présentation de documents;
- fournir aux gestionnaires de l'information sur la situation des employés qui relèvent d'eux;
- permettre aux gestionnaires de demander des rapports.
La solution de gestion des cas d'incapacité permet de centraliser toute l'information concernant un cas de gestion de l'incapacité et des mesures d'adaptation et de la rendre accessible aux personnes compétentes. Le nouveau système permettra également d'assurer l'exactitude des documents médicaux et non médicaux et habilitera la direction de la GRC à rendre compte en temps réel des données clés et des tendances liées à la gestion de l'incapacité, par exemple l'incidence, la durée et la nature (liée ou non au travail) des absences pour cause de maladie ou de blessure, les types de mesures d'adaptation favorisant le retour au travail des membres, etc.
La solution de gestion des cas d'incapacité favorisera l'uniformité dans toutes les divisions, permettra de cerner des tendances en milieu de travail, des problèmes sur le plan de la santé et des lacunes, accroîtra l'efficacité du processus et éclairera la prise de décisions visant la modification des politiques et stratégies du PGIMA. De plus, elle permettra à la direction de surveiller et d'évaluer la gestion des cas d'incapacité et la prise de mesures d'adaptation grâce à des tableaux de bord de gestion et à la production de rapports préétablis et personnalisés.
Équilibre entre les besoins de gestion de l'incapacité et la protection de la vie privée
L'acquisition d'une solution de gestion des cas d'incapacité facilitera une intervention rapide, permettant à la GRC de planifier de façon proactive le besoin éventuel de mesures d'adaptation. Les membres auront accès au soutien et aux services nécessaires tout au long de leur rétablissement. Une telle solution de gestion de l'incapacité en ligne risque de présenter certains défis quant à la protection et à la manipulation par la GRC de renseignements personnels, mais la protection de la vie privée demeure indispensable à l'administration et à la prestation de ces programme de ressources humaines.
Compte tenu de ce qui précède, la GRC a décidé d'effectuer une évaluation des facteurs relatifs à la vie privée (EFVP) afin de relever les problèmes éventuels liés à la mise en œuvre de la solution de gestion des cas d'incapacité.
Objet et portée de l'EFVP
La GRC figure parmi les institutions fédérales énumérées à l'annexe de la Loi sur la protection des renseignements personnelsFootnote 1 et est assujettie aux politiques et directives sur la protection de la vie privée du Secrétariat du Conseil du Trésor (SCT). Conformément à la Politique sur la protection de la vie privée du SCT, les institutions fédérales assujetties à la Loi sur la protection des renseignements personnels doivent évaluer les facteurs et risques d'atteinte à la vie privée pour des activités ou programmes nouveaux ou ayant subi des modifications importantes nécessitant l'utilisation de renseignements personnels.
La présente évaluation satisfait à l'obligation d'effectuer une EFVP énoncée dans la politique susmentionnée et respecte les normes pour l'exécution d'EFVP établies par le SCT dans la Directive sur l'évaluation des facteurs relatifs à la vie privée. Elle tient compte aussi des recommandations formulées par la Direction de la vérification et de la revue du Commissariat à la protection de la vie privée du Canada dans Nos attentes : Guide du Commissariat au sujet du processus d'évaluation des facteurs relatifs à la vie privée.
La présente EFVP a pour objectif de cerner et d'analyser les risques d'atteinte à la vie privée liés à la collecte, à l'utilisation, à la communication et à la conservation de renseignements personnels par ou pour le compte de la GRC dans le cadre du fonctionnement ou de l'administration de la solution de gestion des cas d'incapacité en ligne.
L'EFVP a été effectuée sous la direction du directeur général de la SDSST. Elle contient une évaluation des autorisations de programme, conformément aux dispositions législatives et réglementaires habilitantes, une évaluation détaillée des risques d'atteinte à la vie privée, une évaluation des mécanismes de protection des renseignements personnels et une évaluation des modalités contractuelles exigeant la prise en compte du besoin de protéger la vie privée lors de la mise en œuvre d'une solution de gestion des cas d'incapacité externalisée.
La présente EFVP porte sur les risques d'atteinte à la vie privée liés à la collecte, à l'utilisation, à la communication et à la conservation de renseignements personnels par un entrepreneur au nom de la GRC dans le cadre de la prestation du PGIMA.
Lors de la mise en œuvre, le fournisseur retenu, Morneau Shepell, effectuera sa propre évaluation des risques pour assurer la conformité de ses pratiques en matière de manipulation de renseignements personnels avec la législation et les politiques et procédures de la GRC. L'entrepreneur assume l'entière responsabilité de s'assurer que la solution de gestion des cas d'incapacité respecte l'ensemble des normes contractuelles visant la protection de la vie privée avant la date de mise en œuvre.
Obligation de prendre des mesures d'adaptation
La GRC est résolue à aider les membres souffrant d'une incapacité, d'une blessure ou d'une maladie à rester au travail ou à y retourner de façon sécuritaire en temps voulu.
En tant qu'organisation fédérale, nous sommes tenus de cerner et d'éliminer les obstacles à l'emploi et de prendre des mesures d'adaptation pour les personnes handicapées.
Résumé des problèmes relevés en matière de protection de la vie privée
La présente évaluation indique que les risques d'atteinte à la vie privée liés à la solution de gestion des cas d'incapacité seront modérés ou élevés, mais qu'ils seront gérés et atténués avec efficacité par voie contractuelle. À cette fin, la GRC a évalué et consigné ses obligations en matière de protection de la vie privée dans l'externalisation de la solution de gestion des cas d'incapacité et a rédigé des modalités axées sur la protection de la vie privée et la protection des renseignements personnels aux fins d'inclusion dans la version définitive de la demande de proposition et du contrat.
Le PGIMA nécessite la collecte, l'utilisation, la communication et la conservation de renseignements personnels de nature délicate, et c'est à la GRC qu'il incombe de s'assurer que la protection des renseignements personnels est prise en compte avant la mise en œuvre de la solution de gestion des cas d'incapacité. Il est important de souligner que des renseignements médicaux personnels au sujet de membres de la GRC peuvent être créés, traités et conservés dans la solution de gestion de l'incapacité, mais les données demeurent la propriété de la GRC.
Nonobstant ce qui précède, il convient de tenir compte des questions et des recommandations suivantes lors de la mise en œuvre d'une solution de gestion des cas d'incapacité hébergée par le fournisseur.
- En ce qui concerne le PGIMA et la surveillance et l'évaluation de la solution de gestion des cas d'incapacité, la SDSST, en tant que centre de décision responsable de la prestation du programme, supervisera la mise en œuvre de la solution de gestion des cas d'incapacité et l'exécution continue du contrat.
- En ce qui concerne les mécanismes de protection, l'entrepreneur assurera la mise en œuvre et le maintien d'une solution de gestion de l'incapacité qui protège en tout temps les données de la GRC en prenant les mesures de sécurité administratives, physiques et techniques nécessaires pour garantir l'intégrité et la confidentialité.
- En ce qui concerne le personnel affecté à la mise en œuvre de la solution de gestion des cas d'incapacité et au soutien continu du système, tous les employés de l'entrepreneur sont tenus d'obtenir et de conserver la cote de sécurité de la GRC correspondant au caractère délicat des travaux exécutés pendant toute la durée du contrat.
- En ce qui concerne les risques éventuels liés à l'accès à des données de nature délicate par les utilisateurs de la solution de gestion de l'incapacité de la GRC, toutes les personnes qui recueillent et utilisent des renseignements médicaux personnels contenus dans la solution de gestion de l'incapacité sont tenues de préserver le caractère confidentiel de ces données. Cette pratique sera renforcée lors de la formation et dans les politiques et lignes directrices.
- En ce qui concerne les fichiers de renseignements personnels et pour assurer une représentation précise des programmes et services modernisés de la GRC, y compris l'introduction de la solution de gestion des cas d'incapacité, une proposition visant à réviser et à actualiser le fichier PPE 808 a été identifiée et est en cours.
Interpersonal Violence Disclosure Protocol (Clare’s Law) Act
Government institution
Royal Canadian Mounted Police
Head of the government institution or delegate for section 10 of the Privacy Act
Danielle Golden, Director of Privacy, Access to Information and Privacy Branch
Senior official or executive responsible for the privacy impact assessment
See divisional appendices since each province has their own framework and legislative requirements. This is not a national program.
Name and description of the program or activity of the government institution
Contract and Indigenous Policing
Legal authority for the program or activity
Section 18 of the Royal Canadian Mounted Police Act
Sections 57.5, 57.6 and 57.7 of the Royal Canadian Mounted Police Regulations
Standard or institution specific personal information bank
Operational Case Records, RCMP PPU 005
Victim Services, RCMP PPU 139
Description of the project, initiative or change
Clare's Law, often known officially as a Domestic Violence Disclosure Scheme, is a policy in England and Wales created as a guide for individuals to obtain information from the police regarding the risk of interpersonal violence posed by their current or former domestic partners. It was named in memory of Clare Wood who was killed in 2009 by her former domestic partner who had a record of violence against women that she was unaware of. In Canada, several provinces have adopted Clare's Law in the form of a statute, authorizing a police service to disclose certain risk-related information to a current or former intimate partner where such information could assist the current or former partner in making informed decisions about their safety and the relationship.
The RCMP recognizes that intimate partner violence continues to harm people in the communities that we serve, which is why the RCMP continues to increase efforts, services and support for all victims and survivors.
The RCMP National PIA speaks to the commonalities of Clare's Law that are expected to exist between the Provinces/ Territories that have/will adopt it. As provinces and territories enact their respective Clare's Law legislation, corresponding RCMP Divisions will develop and append their own divisionally specific Appendix to this PIA.
Clare's Law allows for the development of an Interpersonal Violence Disclosure Protocol to guide police services through the disclosure process. Under the Act, police services are authorized to disclose information to a potential victim of interpersonal violence in accordance with the established protocol. The principal aim of the protocol is to introduce recognized and consistent procedures, authorized through legislation, for the police service to consider the disclosure of information in order to protect a member of the public who may be at risk of harm from interpersonal violence or abuse. Each request for information made under this protocol is considered on a case-by-case basis. The law is focused on a risk assessment, considering any relevant convictions, warnings, charges, or diversions for violent or abusive offences; and/or information held about an individuals' behavior which reasonably leads the police of jurisdiction to believe that the individual poses a risk of harm to the applicant. The protocol recognizes two procedures for disclosing information: "Right to ask" is triggered by a member of the public applying to a police service or a provincial government for a disclosure and the "Right to know" is triggered by the police service making a proactive decision to disclose information to protect a potential victim. The protocol defines what information and can be disclosed as well as the condition under which a disclose can occur. While there may be variation depending on the jurisdiction, generally only the category of risk identified and, at the discretion of the police service, relevant criminal convictions, if applicable, can be disclosed as risk identification information under the protocol.
Purpose and scope of the privacy impact assessment
The objective of the privacy impact assessment is to ensure that the RCMP meets its legal obligations under the Privacy Act in relation to its disclosure of personal information during a Clare's Law disclosure and to ensure that privacy risks associated with any disclosures are appropriately managed.
Privacy analysis
Bases on its assessment, privacy impacts associated with the disclosures made under Clare's Law are expected to be moderate. Recommendations from the privacy impact assessment processed, once fully adopted are expected to reduce those risk to an acceptable level of risk. Potential impacts on the privacy of individuals are managed by the RCMP through appropriate legal, policy and technical measures geared at the protection of personal information and prevention of potential breaches.
Risk area identification and categorization
A) Type of program or activity
Administration of program or activity or services.
Level of risk to privacy: Moderate risk
B) Type of personal information involved and context
Sensitive personal information, including detailed profiles, allegations or suspicions or the context surrounding the personal information is particularly sensitive.
Level of risk to privacy: High risk
C) Program or activity partners and private sector involvement
Within the institution, with other government institutions, federal, provincial or territorial, and municipal governments and private sector organizations.
Level of risk to privacy: Elevated risk
D) Duration of the program or activity
Long-term program or activity
Level of risk to privacy: Moderate risk
E) Program population
The program's use of personal information for external administrative purposes affects certain individuals
Level of risk to privacy: Elevated risk
F) Technology and privacy
- Does the new or substantially modified program or activity involve implementation of a new electronic system or the use of a new application or software, including collaborative software (or groupware), to support the program or activity in terms of the creation, collection or handling of personal information?
Risk to privacy: No
- Does the new or substantially modified program or activity require any modifications to information technology legacy systems?
Risk to privacy: No
- Does the new or substantially modified program or activity involve implementation of new technologies or one or more of the following activities:
- Enhanced identification methods;
Risk to privacy: No
- Surveillance;
Risk to privacy: No
- Automated personal information analysis, personal information matching and knowledge discovery techniques?
Risk to privacy: No
- Enhanced identification methods;
- Level of risk to privacy: Low risk
G) Personal information transmission
All information collected and shared through the Disclosure Process will be recorded by the Investigator in the appropriate Records Management System and comply with the security policy concerning the storage and transmission of Protected B RCMP information.
Level of risk to privacy: Moderate risk
H) Potential risk that in the event of a privacy breach, there will be an impact on the individual or employee
As with all operational file types for the RCMP, there is a risk of employee snooping and unauthorized disclosure by an employee, this possibility carries inherent risks for all involved parties. There are risks associated with the release of someone's complete or partial criminal convictions and non-convictions without their consent.
If a person's convictions and non-convictions were improperly disclosed it could impact their ability to obtain employment, educational opportunities, shelter (rental property), and travel to other countries freely. The impact on the individual could be very significant. If their personal information was used or shared for illegal activities or malicious intent, it could leave them feeling victimized and potentially cause them embarrassment, loss of money, loss of reputation, stress and anxiety and other inconveniences. An inappropriate release of a criminal record and/or non-conviction (withdraw charge, absolute/conditional discharge, stayed charge, insufficient evidence to proceed, etc.) may prevent a person from renewing an employment contract or working in the field of their chosen vocation and may also impact their reputation.
With that said, this program carries minimal probability of a privacy breach due to the strong mitigating factors outlined in Clare's Law, the Protocol, and divisional policies and procedures.
La Loi sur le protocole de divulgation des violences interpersonnelles (La loi de Clare)
Institution fédérale
Gendarmerie royale du Canada
Responsable de l'institution fédérale ou son représentant au titre de l'article 10 de la Loi sur la protection des renseignements personnels
Danielle Golden
Directrice de la Protection des renseignements personnels
Sous-direction de l'accès à l'information et de la protection des renseignements personnels (AIPRP)
Cadre supérieur responsable de l'évaluation des facteurs relatifs à la vie privée
Consultez les annexes des divisions puisque chaque province a son propre cadre et ses propres exigences législatives. Il ne s'agit pas d'un programme national.
Nom et description du programme ou de l'activité de l'institution fédérale
Services de police contractuels et autochtones
Fondements législatifs du programme ou de l'activité
Article 18 de la Loi sur la Gendarmerie royale du Canada
Articles 57.5, 57.6 et 57.7 du Règlement de la Gendarmerie royale du Canada(2014)
Fichiers de renseignements personnels standard ou propres à l'institution
Dossiers opérationnels, GRC PPU 005
Services aux victimes, GRC PPU 139
Description du projet, de l'initiative ou du changement
La Loi de Clare, souvent connue officiellement sous le nom de « Domestic Violence Disclosure Scheme » (système de divulgation de la violence familiale), est une politique adoptée en Angleterre et au pays de Galles qui a pour but d'aider les personnes à obtenir des renseignements de la police sur le risque de violence interpersonnelle posé par leurs conjoints actuels ou anciens. Elle a été nommée à la mémoire de Clare Wood, qui a été tuée en 2009 par son ancien partenaire conjugal, qui avait un dossier de violence contre les femmes dont elle ignorait l'existence. Au Canada, plusieurs provinces ont adopté la Loi de Clare sous forme de loi autorisant un service de police à divulguer certains renseignements relatifs au risque à un partenaire intime actuel ou ancien, qui pourraient aider ce partenaire actuel ou ancien à prendre des décisions éclairées au sujet de sa sécurité et de la relation.
L'évaluation nationale des facteurs relatifs à la vie privée de la GRC porte sur les points communs de la Loi de Clare entre les provinces et les territoires qui l'ont adoptée ou qui l'adopteront. À mesure que les provinces et les territoires adopteront leur propre Loi de Clare, les divisions correspondantes de la GRC élaboreront et ajouteront leur propre annexe à la présente évaluation des facteurs relatifs à la vie privée.
La GRC reconnaît que la violence entre partenaires intimes cause du tort aux personnes dans les collectivités qu'elle sert et c'est pourquoi elle continue d'accroître les efforts, les services et le soutien pour les victimes et les survivants. La Loi de Clare permet l'élaboration d'un protocole de divulgation dans les cas de violence pour guider les services de police tout au long du processus de divulgation. En vertu de la Loi, les services de police sont autorisés à communiquer des renseignements à une victime possible de violence interpersonnelle conformément au protocole établi. Le principal objectif du protocole est de mettre en place des procédures reconnues et cohérentes, autorisées par la loi, qui permettent au service de police d'envisager la divulgation de renseignements afin de protéger un membre du public qui pourrait être exposé à un risque de violence interpersonnelle ou de maltraitance. Chaque demande de renseignements présentée en vertu de ce protocole est examinée au cas par cas. La Loi est axée sur une évaluation des risques; elle permet de tenir compte des condamnations, des accusations, des déjudiciarisations; ou des avertissements pertinents en ce qui concerne des infractions liées à la violence ou à la maltraitance; ou de prendre en compte des renseignements détenus au sujet du comportement d'une personne qui amènent raisonnablement la police à croire que la personne présente un risque de préjudice pour le demandeur. Le protocole comprend deux procédures de divulgation de renseignements : le « droit de demander », entamé par un membre du public qui présente une demande de divulgation à un service de police ou à un gouvernement provincial, et le « droit de savoir », où le service de police décide de divulguer des renseignements afin de protéger une victime possible.
Le protocole définit les renseignements qui peuvent être communiqués ainsi que les conditions dans lesquelles une divulgation peut avoir lieu. Bien qu'il puisse y avoir des différences selon la province, en général, seules la catégorie de risque cernée et à la discrétion du service de police, les déclarations de culpabilité criminelle pertinentes, s'il y a lieu, peuvent être divulguées à titre de renseignement sur la détermination des risques en vertu du protocole.
Objectif et portée de l'évaluation des facteurs relatifs à la vie privée
L'évaluation des facteurs relatifs à la vie privée a été entreprise pour s'assurer que la GRC respecte les obligations que lui impose la Loi sur la protection des renseignements personnels en ce qui a trait à la divulgation de renseignements personnels dans le cadre de la Loi Clare et qu'elle gère convenablement les risques d'atteinte à la vie privée associés à toute divulgation.
Analyse des facteurs relatifs à la vie privée
Selon l'évaluation, les divulgations effectuées en vertu de la Loi Clare devraient avoir une incidence modérée sur la vie privée. Une fois pleinement adoptées, les recommandations découlant du processus d'évaluation des facteurs relatifs à la vie privée devraient réduire ces risques à un niveau de risque acceptable. La GRC gère les répercussions possibles sur la vie privée et la prévention des atteintes à la vie privée des particuliers à l'aide de mesures juridiques, techniques et l'adoption de politiques.
Détermination et classification des éléments de risque
A : Type de programme ou d'activité
Administration du programme, de l'activité ou des services.
Niveau de risque pour la vie privée : Modéré
B : Type de renseignements personnels recueillis et contexte
Les renseignements personnels de nature délicate, y compris les profils détaillés, les allégations ou les soupçons ou le contexte des renseignements personnels, sont de nature particulièrement délicate.
Niveau de risque pour la vie privée : Élevé
C : Participation de partenaires et du secteur privé au programme ou à l'activité
Au sein de l'institution, avec d'autres institutions gouvernementales, avec les gouvernements fédéral, provinciaux ou territoriaux, les administrations municipales et des organisations du secteur privé.
Niveau de risque pour la vie privée : Élevé
D : Durée du programme ou de l'activité
Programme ou activité à long terme
Niveau de risque pour la vie privée : Modéré
E : Personnes concernées par le programme
L'utilisation des renseignements personnels par le programme à des fins administratives externes aura une incidence sur certaines personnes.
Niveau de risque pour la vie privée : Élevé
F : Technologie et vie privée
- L'activité ou le programme nouveau ou celui ayant subi des modifications importantes comprend-il la mise en œuvre d'un nouveau système électronique ou l'utilisation d'un logiciel ou d'une d'application, y compris un collecticiel (ou logiciel de groupe), afin de créer, de recueillir ou de traiter des renseignements personnels à l'appui du programme ou de l'activité?
Risque pour la vie privée : Non
- L'activité ou le programme nouveau ou celui ayant subi des modifications importantes nécessite-t-il la modification d'anciens systèmes des technologies de l'information?
Risque pour la vie privée : Non
- L'activité ou le programme nouveau ou celui ayant subi des modifications importantes comprend-il la mise en œuvre de nouvelles technologies ou une ou plusieurs des activités suivantes :
- Méthodes d'identification améliorées
Risque pour la vie privée : Non
- Surveillance
Risque pour la vie privée : Non
- Analyse automatisée des renseignements personnels, mise en correspondance des renseignements personnels et techniques de découverte de connaissances
Risque pour la vie privée : Non
- Méthodes d'identification améliorées
- Niveau de risque pour la vie privée : Faible
G : Transmission des renseignements personnels
Tous les renseignements recueillis et communiqués dans le cadre du processus de divulgation seront consignés par l'enquêteur dans le système de gestion des dossiers pertinent et seront conformes à la politique de sécurité concernant le stockage et la communication de renseignements Protégé B de la GRC.
Niveau de risque pour la vie privée : Modéré
H : Risque de répercussions sur la personne ou l'employé en cas d'atteinte à la vie privée
Comme c'est le cas pour tous les types de dossiers opérationnels de la GRC, il y a un risque qu'un employé consulte et divulgue des renseignements sans autorisation; cette possibilité comporte des risques inhérents pour toutes les parties concernées. Il y a des risques associés à la communication complète ou partielle des déclarations de culpabilité criminelle et des acquittements d'une personne sans son consentement.
Si les condamnations et les acquittements d'une personne sont divulgués de façon inadéquate, cette situation pourrait avoir une incidence sur la capacité de la personne d'obtenir un emploi ou un logement (immeuble locatif), de saisir des occasions de formation et de voyager librement dans d'autres pays. L'incidence sur la personne pourrait être très importante. Si ses renseignements personnels sont utilisés ou communiqués dans le cadre d'activités illégales ou d'une intention malveillante, la personne pourrait se sentir persécutée et peut-être même perdre de l'argent, sa réputation et ressentir de l'embarras, du stress, de l'anxiété et d'autres inconvénients. Une communication inadéquate d'un casier judiciaire ou d'un acquittement (retrait de l'accusation, absolution inconditionnelle ou conditionnelle, accusation suspendue, preuve insuffisante pour procéder à une mise en accusation, etc.) peut empêcher une personne de renouveler un contrat de travail ou de travailler dans le domaine de sa profession choisie et peut également avoir des répercussions sur sa réputation.
Cela dit, ce programme présente une probabilité faible d'atteinte à la vie privée en raison des facteurs atténuants importants décrits dans la Loi de Clare, le protocole et les politiques et les procédures de la division.
8 mai 2024 — South Glengarry (Ontario)
May 8, 2024 — South Glengarry, Ontario
- Date de modification :